Read more

Mas a questão não se esgota na distribuição de competências. O Código Eleitoral vai além de definir quem apura: descreve, com riqueza de detalhes, como a apuração deve ocorrer.

O que emerge da leitura desses dispositivos é mais do que um conjunto de procedimentos administrativos. Trata-se de um verdadeiro rito público de contagem dos votos, concebido para ocorrer de forma presencial e aberta à fiscalização de partidos, candidatos e observadores, em consonância com o princípio da publicidade previsto no art. 37 da Constituição Federal.

O procedimento de apuração nas Juntas Eleitorais

O Código Eleitoral brasileiro2 dedica todo um capítulo, dos artigos 159 a 196, ao procedimento de apuração nas Juntas Eleitorais. Ele define, passo a passo, como a contagem dos votos deve transcorrer: abertura das urnas, verificação das cédulas, registro das ocorrências em ata, regime de impugnações e recursos, expedição de boletins de apuração.

A presença de fiscais de partidos, a possibilidade de impugnação imediata e a lavratura de atas constituem elementos essenciais desse rito. Não se trata de mera formalidade administrativa. Trata-se de um procedimento concebido como presencial, aberto ao acompanhamento e verificável por fiscais de partidos, candidatos e observadores, desenhado para garantir que a contagem dos votos ocorra em ato público, à vista dos interessados, sob fiscalização direta e imediata.

O voto lido em voz alta: publicidade na origem da contagem

Um detalhe particularmente revelador desse desenho institucional aparece no próprio procedimento de contagem. O Código Eleitoral estabelece que, durante a apuração, os votos são lidos em voz alta, um a um, antes de qualquer registro na contagem oficial.3

A leitura pública do voto constitui um mecanismo clássico de publicidade do processo eleitoral: todos os presentes podem acompanhar simultaneamente a contagem e verificar se o registro corresponde ao voto efetivamente apurado.

A importância desse procedimento para a soberania popular transcende fronteiras e contextos tecnológicos. Taiwan, um dos maiores polos mundiais de tecnologia, mantém a contagem manual e pública como regra em suas eleições, com cada cédula exibida e anunciada em voz alta diante de observadores de todos os partidos e qualquer cidadão que deseje acompanhar o processo.4

Esse mecanismo nada tem de acidental. Ele traduz um princípio fundamental do direito eleitoral democrático: a apuração deve transcorrer em ato público, verificável por aqueles que acompanham o processo no momento em que ele se realiza.

O registro digital de cada voto e o princípio da publicidade

A legislação eleitoral posterior não rompeu com essa lógica. Ao autorizar a votação eletrônica, a Lei nº 9.504/19975 determinou que a urna eletrônica disponha de recursos que permitam “o registro digital de cada voto”, preservado o anonimato do eleitor (art. 59, §4º). Esse dispositivo estabelece que cada voto exista no sistema como um registro digital individual.

No modelo tradicional, a cédula física era examinada durante a apuração pública. No ambiente eletrônico, o registro digital de cada voto, em documento eletrônico assinado com certificado digital ICP-Brasil, poderia desempenhar papel equivalente.

A Lei nº 9.504 de 1997, ao autorizar a utilização de sistemas eletrônicos na votação e na totalização dos votos, manteve a lógica fundamental de que cada voto corresponde a um registro individual. O sistema eletrônico registra digitalmente cada voto lançado pelo eleitor, preservando seu sigilo, mas mantendo a individualidade do registro.

Essa característica revela-se essencial. Um registro individual de voto permite que os resultados permaneçam auditáveis e verificáveis no processo de apuração. Em outras palavras, a tecnologia substitui o suporte físico da cédula, mas não elimina a existência do voto como unidade individual de contagem.

Tecnologia não pode revogar a lei: a apuração eleitoral deve permanecer pública e verificável, conforme o princípio da publicidade do art. 37 da Constituição.

A publicidade como exigência constitucional

O artigo 37 da Constituição Federal6 estabelece que a administração pública deve obedecer ao princípio da publicidade. No contexto eleitoral, esse princípio se traduz historicamente na possibilidade de acompanhar e verificar o processo de apuração. A leitura pública dos votos durante a contagem, prevista no Código Eleitoral, constitui uma expressão concreta desse princípio.

Por essa razão, não existe fundamento jurídico para que a transição da tecnologia manual para a tecnologia digital elimine um elemento central do procedimento de apuração previsto no Código Eleitoral: o caráter público da contagem dos votos. A forma técnica de registrar o voto pode evoluir. O princípio jurídico que orienta a apuração, entretanto, permanece o mesmo.

A tecnologia pode acelerar o processo eleitoral. Pode reduzir erros operacionais. Pode aumentar a eficiência administrativa. Mas não pode suprimir as garantias constitucionais de publicidade que estruturam o procedimento legal de apuração.

Quando a legislação descreve um rito público de contagem e a Constituição exige publicidade dos atos administrativos, a evolução tecnológica deve adaptar-se a esses princípios, e não substituí-los silenciosamente.

O Código Eleitoral determina que os votos sejam apurados em ato público e lidos em voz alta. A Constituição exige publicidade nos atos da administração. Quando ambos são lidos juntos, o resultado soa inequívoco: a apuração eleitoral brasileira foi concebida para funcionar como processo publicamente verificável no momento em que ocorre.

A pergunta que permanece

Na Parte 1 deste artigo, demonstramos que o Congresso Nacional nunca aprovou formalmente a centralização da totalização eleitoral no TSE. Agora, nesta Parte 2, o quadro se amplia: o Código Eleitoral não apenas distribui competências entre instâncias distintas, mas exige que a apuração ocorra em ato público, presencial e fiscalizável.

A tecnologia substituiu o suporte do voto, da cédula de papel ao registro digital. Mas não revogou, nem poderia revogar, o princípio constitucional da publicidade que sustenta todo o procedimento de apuração.

A lei não prevê um sistema em que todos os votos do país sejam canalizados para um único ponto de totalização. Prevê o oposto: uma cadeia escalonada de responsabilidades, exercidas em ato público.

Duas perguntas, portanto, aguardam resposta do Congresso Nacional.

Primeiro: quem autorizou a centralização da totalização eleitoral?

Segundo: como preservar, na era digital, o caráter público da apuração que o Código Eleitoral e a Constituição exigem?

Enquanto o Congresso não responder, permanece a distância silenciosa entre a norma e a prática. E numa democracia constitucional, esse silêncio não pode durar indefinidamente.

Cabe agora ao Congresso Nacional decidir se o sistema eleitoral pode continuar praticando um modelo que nunca foi aprovado por lei.

Leia, agora, a Parte 3 da série.

Série: Integridade da Apuração Eleitoral

• Parte 1: Quem autorizou a centralização da apuração eleitoral no Brasil?

• Parte 2: A apuração eleitoral deveria ocorrer em ato público?

• Parte 3: A descentralização da apuração: um princípio universal

Referências

A contagem era lenta, mas tinha uma característica essencial: era pública. Qualquer cidadão podia compreender onde os votos estavam e como eram contados. A legitimidade do resultado nascia da publicidade do procedimento.

Com a introdução das urnas eletrônicas, esse cenário mudou profundamente. O voto passou a ser registrado digitalmente e os resultados começaram a ser transmitidos para sistemas centrais de processamento. A contagem deixou de ocorrer voto a voto, nas mesas apuradoras, diante de fiscais e eleitores, passou a ser apurada dentro da urna eletrônica e totalizada em uma infraestrutura nacional centralizada, operada pela Justiça Eleitoral.

Agora imagine que a lei desse país diz, expressamente, que a apuração dos votos não deveria ocorrer num sistema único e centralizado, mas em níveis distintos e independentes.

Esse país existe. Chama-se Brasil.

E a pergunta que deveria ocupar todas as manchetes soa simples: quando exatamente o Congresso Nacional autorizou essa mudança?

O que a lei diz, e o que acontece na prática

O Código Eleitoral brasileiro, instituído pela Lei nº 4.737 de 19651, nada tem de vago. Ele desenha, com precisão cirúrgica, quem tem competência para apurar cada eleição.

O artigo 1582 estabelece três níveis institucionais de apuração.

As Juntas Eleitorais apuram as eleições realizadas na zona sob sua jurisdição. Os Tribunais Regionais Eleitorais consolidam os resultados para governador, senador e deputados. E somente ao Tribunal Superior Eleitoral cabe a apuração final da eleição presidencial, com base nos dados enviados pelos tribunais regionais.

O desenho obedece a uma lógica deliberada. A contagem dos votos começa na base, o mais perto possível de onde o voto se depositou, e sobe, etapa por etapa, até o topo. Cada nível fiscaliza o anterior. Cada instância responde pela sua parte.

O Código Eleitoral vai além da definição de competências: dedica todo um capítulo, dos artigos 159 a 1963 ao procedimento de apuração nas Juntas Eleitorais. Detalha desde as disposições preliminares e a abertura das urnas até a contagem dos votos, passando pelo regime de impugnações e recursos. A lei prevê a presença de fiscais de partidos, a leitura dos votos em voz alta4, a lavratura de atas e a expedição de boletins de apuração. Trata-se de um rito público, presencial e fiscalizável, concebido para garantir a publicidade do processo na origem do voto.

A lei não prevê um sistema em que todos os votos do país sejam canalizados para um único ponto de totalização. Prevê o oposto: uma cadeia escalonada de responsabilidades.

Esse modelo reflete um princípio clássico da administração eleitoral: a descentralização como garantia simultânea de publicidade, resiliência e proteção contra interferência centralizada. Quando múltiplas instâncias apuram e verificam os resultados, nenhum ponto único concentra poder suficiente para comprometer o conjunto.

A revolução tecnológica que não passou pelo Legislativo

Na década de 1990, o Brasil adotou as urnas eletrônicas. A Lei nº 9.504 de 19975 autorizou que a votação e a totalização dos votos passassem a ocorrer por sistema eletrônico. Ninguém contesta os ganhos de eficiência. Os resultados passaram a chegar ao público com velocidade inédita no mundo. Mas velocidade não substitui legalidade.

Tecnologia resolve problemas técnicos. Leis resolvem problemas jurídicos.

A introdução de sistemas eletrônicos não revogou, não alterou e não substituiu a divisão de competências fixada no Código Eleitoral. O artigo 158 continua vigente. As Juntas Eleitorais continuam existindo no organograma da Justiça Eleitoral. Os Tribunais Regionais continuam legalmente responsáveis pela consolidação dos resultados em seus estados.

E, no entanto, a prática conta outra história.

Hoje, a totalização eleitoral ocorre num sistema nacional centralizado, operado diretamente pelo Tribunal Superior Eleitoral. Os dados das urnas seguem transmitidos e consolidados numa infraestrutura única, que produz os resultados finais de todas as eleições, municipais, estaduais e federais.

A questão central não é tecnológica. É jurídica: em que lei exatamente o Congresso autorizou que a apuração eleitoral do Brasil fosse centralizada?

A arquitetura atual de totalização foi definida por resoluções administrativas do TSE, sem alteração legislativa correspondente.

Apuração e totalização não significam a mesma coisa

Para entender o alcance do problema, convém distinguir dois conceitos que o debate público insiste em confundir.

Apurar significa determinar quantos votos cada candidato recebeu, o ato jurídico que produz o resultado.

Totalizar significa somar resultados já apurados, uma operação aritmética.

Mesmo admitindo que a totalização difira tecnicamente da apuração, permanece a questão institucional: quando a soma nacional dos resultados passa a ocorrer sob controle direto da instância superior da Justiça Eleitoral, o equilíbrio de competências originalmente previsto na lei merece reexame.

No modelo do Código Eleitoral, a apuração ocorre nas zonas e nos tribunais regionais. O TSE só exerce papel final na eleição presidencial. Quando a soma de todos os votos do país, para todos os cargos, corre por um sistema único sob controle direto da instância máxima da Justiça Eleitoral, o resultado ultrapassa uma modernização operacional.

Realizou-se uma reorganização da arquitetura institucional do processo eleitoral que nunca ganhou forma de lei aprovada pelo Congresso Nacional.

A questão não recai sobre a segurança das urnas. Recai sobre a correspondência entre o procedimento adotado e o procedimento previsto na legislação vigente.

Regulamentar não significa redefinir

A Constituição prevê a organização e competência da Justiça Eleitoral (art. 121)6, mas isso não autoriza que normas infralegais redesenhem competências que a lei atribuiu a órgãos específicos. Alguém poderia argumentar que resoluções do TSE já regulamentam o processo eletrônico e, portanto, cobrem essa lacuna. Mas aqui incide um princípio constitucional elementar: uma norma infralegal não pode alterar o que a lei define.

A Constituição Federal, no artigo 5º, inciso II 7, estabelece que ninguém pode ver-se obrigado a fazer ou deixar de fazer alguma coisa senão em virtude de lei. O artigo 84, inciso IV8, limita o poder regulamentar à fiel execução das leis. Sem extrapolá-las, sem contrariá-las, sem reescrevê-las.

A jurisprudência do STF aponta com firmeza: atos regulamentares servem à fiel execução da lei e não podem inovar na ordem jurídica, criando arranjos institucionais ou obrigações não previstos no texto legal. Uma resolução do TSE pode disciplinar como a totalização eletrônica deve funcionar. O que ela não pode fazer é redistribuir competências que o Código Eleitoral atribuiu a órgãos específicos da Justiça Eleitoral.

Regulamentar significa detalhar a execução da lei. Redefinir a estrutura de competências prevista em lei equivale a legislar, prerrogativa exclusiva do Congresso Nacional.

A apuração distribuída, como demonstrado, reúne vantagens que a centralização por definição elimina. Se ainda assim o Legislativo considerar que o modelo centralizado atende melhor ao interesse público, então cabe a ele aprová-lo formalmente, com debate público, votação e sanção presidencial. Não cabe a um ato administrativo, por mais tecnicamente sofisticado que pareça, assumir esse papel.

O silêncio do Congresso

O Congresso Nacional discute há anos a aprovação de um novo Código Eleitoral. Propostas surgiram, comissões se formaram, relatórios ganharam corpo. Mas a revisão completa da legislação eleitoral ainda não chegou a termo.

Enquanto isso, permanece um vácuo normativo entre o que a lei prescreve e o que a administração eleitoral executa.

Em democracias maduras, mudanças estruturais no processo eleitoral não acontecem por evolução tecnológica silenciosa. Acontecem por deliberação legislativa explícita.

A integridade de um sistema eleitoral repousa sobre pilares inseparáveis: segurança tecnológica, publicidade dos atos administrativos, conforme exige o artigo 37 da Constituição Federal9, e aderência rigorosa ao marco legal. Quando qualquer um desses pilares vacila, o sistema inteiro perde coerência. Não porque funcione mal, mas porque funciona fora do enquadramento jurídico que lhe dá legitimidade.

Este debate precisa acontecer. Agora.

Nada aqui diz respeito a partido. Nada aqui se confunde com teoria conspiratória. Trata-se de uma questão de direito constitucional e de coerência legislativa que deveria incomodar qualquer democrata, independentemente de espectro político.

Juristas e constitucionalistas: examinem a distância entre o artigo 158 do Código Eleitoral e o modelo de totalização efetivamente praticado. Publiquem pareceres. Provoquem o debate nas faculdades de direito, nos institutos de pesquisa, nas barras de advocacia.

Imprensa: façam a pergunta que ninguém ainda formulou: por qual instrumento normativo o Congresso transferiu ao TSE a competência de totalizar todas as eleições do país? Cobrem respostas. Não aceitem o silêncio.

Parlamentares: se a resposta for “nunca autorizamos explicitamente”, então o Legislativo tem uma obrigação inadiável: atualizar a lei para refletir a realidade, ou exigir que a realidade volte a refletir a lei.

A pergunta não se dirige ao Tribunal Superior Eleitoral, que opera dentro da lógica que a tecnologia permitiu. Dirige-se ao Congresso Nacional, que tem o dever constitucional de legislar sobre o processo eleitoral.

Num Estado de Direito, lacunas entre lei e prática não podem permanecer indefinidas.

Cabe agora ao Congresso Nacional decidir se o sistema eleitoral pode continuar praticando um modelo que nunca foi aprovado por lei.

Na Parte 2, examinaremos o rito público de apuração previsto no Código Eleitoral e por que o princípio constitucional da publicidade exige que a contagem dos votos permaneça verificável, mesmo na era digital.

Série: Integridade da Apuração Eleitoral

• Parte 1: Quem autorizou a centralização da apuração eleitoral no Brasil?

• Parte 2: A apuração eleitoral deveria ocorrer em ato público?

• Parte 3: A descentralização da apuração: um princípio universal

Referências

A urna eletrônica brasileira adota o modelo DRE (Registro Eletrônico Direto do Voto), no qual o voto se grava exclusivamente em meio eletrônico. Não ocorre geração de evidência independente do próprio software capaz de demonstrar que os registros refletem a vontade do eleitor. Nessas condições, o resultado passa a depender da correção do código executado. A ausência de instrumentos concretos de auditoria pública baseada em evidência impede a validação externa dos resultados, tornando o sistema dependente de confiança institucional, sem instrumentos de comprovação técnica.

Nas palavras dos próprios autores: “No modelo DRE, é necessário confiar (ou presumir) que o software está correto.” Essa premissa tem consequência jurídica direta. A Constituição Federal não exige apenas que eleições ocorram: exige que o serviço público eleitoral seja prestado com eficiência demonstrável (art. 37) e qualidade adequada (art. 175). No caso das eleições, isso não significa apenas organizar o pleito com regularidade logística. Significa garantir que o resultado proclamado possa ser tecnicamente demonstrado como correto.

Há outra exigência constitucional frequentemente negligenciada nesse debate: o princípio da publicidade, também previsto no art. 37. Publicidade, em matéria eleitoral, não se resume a divulgar boletins de urna após a apuração. Significa que todas as etapas essenciais do processo, como a verificação do voto pelo eleitor, a contagem pública dos votos e a recontagem para auditoria dos resultados, devem ser verificáveis por qualquer cidadão.

No modelo DRE adotado no Brasil, a apuração ocorre inteiramente dentro do software, sem registro físico conferível pelo eleitor. O cidadão comum não tem como verificar, com os próprios olhos, se o voto dado foi o voto registrado e contado. Essa opacidade estrutural contraria o princípio da publicidade. Em 2009, o Tribunal Constitucional Federal da Alemanha declarou inconstitucionais as urnas do tipo DRE precisamente por esse motivo: elas impedem a fiscalização cidadã do processo de apuração, violando o princípio da publicidade das eleições previsto na Lei Fundamental alemã.

Eficiência, em matéria eleitoral, é sinônimo de integridade verificável. Isso exige:

• metodologia de auditoria pós-eleitoral (post-election audit) definida previamente e aderente às melhores práticas internacionais;

• existência de evidências independentes do software;

• cadeia de custódia homologada pela ICP-Brasil;

• possibilidade de reprocessamento técnico externo;

• contraditório técnico em caso de questionamentos.

Sem esses elementos, o sistema não oferece verificação pública autônoma. Em democracias consolidadas, esse padrão costuma materializar-se por meio de auditorias de risco limitado (risk-limiting audits), desenhadas para, com base em amostragens estatisticamente robustas e em evidência física independente, confirmar ou corrigir o resultado oficial.

O próprio TSE reconhece essa centralização. Em artigo publicado na Revista Eletrônica da Escola Judiciária Eleitoral (nº 6, ano 4), o analista judiciário Rodrigo Coimbra, lotado na Seção de Voto Informatizado do Tribunal, afirma que “Somente um grupo restrito de servidores e colaboradores do TSE tem acesso ao repositório de código-fonte e está autorizado a fazer modificações no software. Uma consequência disso é que o software utilizado nas eleições é o mesmo em todo o Brasil e está sob o controle estrito do TSE.”

Contudo, na ausência de auditoria externa robusta, surge uma consequência adicional: sem independência de software, uma eventual quebra de segurança ou erro interno poderia produzir mudança indetectável no resultado da eleição.

Não se trata de acusação, mas de análise estrutural. O princípio é reconhecido em todas as áreas de infraestrutura crítica. Em sistemas financeiros, aeronáuticos ou nucleares, a governança moderna exige segregação de funções. Quem desenvolve não audita. Quem opera não certifica. Quem administra não julga.

No Brasil, a Justiça Eleitoral acumula funções operacionais, como desenvolvimento tecnológico, execução do processo e totalização, e funções jurisdicionais, como julgamento de recursos e controvérsias. Esse acúmulo cria um conflito de interesses intrínseco: a mesma organização que administra o processo também decide sobre disputas relativas à sua própria atuação.

Organismos multilaterais e códigos de boa conduta em administração eleitoral recomendam a separação funcional entre o órgão responsável pela gestão do processo e as instâncias encarregadas de julgar impugnações. Recomendam, igualmente, a adoção de auditorias pós-eleitorais baseadas em evidência física, aptas a comprovar ou refutar tecnicamente o resultado proclamado.

Integridade eleitoral não é atributo automático de um sistema. É produto de desenho institucional adequado e de arquitetura técnica auditável. Se o sistema não produz evidência suficiente para comprovar seus resultados, a promessa constitucional de eficiência e qualidade permanece incompleta. A confiança pública deve ser sustentada por verificabilidade técnica.

Separar funções operacionais das jurisdicionais e adotar independência de software não enfraquece a autoridade eleitoral. Ao contrário, fortalece sua legitimidade democrática.

Em um Estado de Direito, confiança institucional deve caminhar junto com prova técnica. Separar quem opera de quem julga não é desconfiança: é o padrão mínimo que qualquer democracia exige de seus sistemas críticos.

Referências

• Rivest, Ronald L.; Virza, Madars. Software Independence Revisited. Em: Real-World Electronic Voting: Design, Analysis and Deployment. Auerbach Publications, 2016.
  https://people.csail.mit.edu/rivest/pubs/RV16.pdf

• Constituição da República Federativa do Brasil de 1988, arts. 37 e 175.
  https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm

• Coimbra, Rodrigo Carneiro Munhoz. Por que a urna eletrônica é segura. Em: Revista Eletrônica EJE, nº 6, ano 4. Escola Judiciária Eleitoral, Tribunal Superior Eleitoral.
  https://www.tse.jus.br/institucional/escola-judiciaria-eleitoral/publicacoes/revistas-da-eje/artigos/revista-eletronica-eje-n.-6-ano-4/por-que-a-urna-eletronica-e-segura

• Instituto Voto Legal. Oportunidades de Melhoria para as Eleições Brasileiras: Governança, Segurança, Certificação, Fiscalização, Apuração, Totalização e Auditorias Independentes. Apresentação ao Senado Federal, 12 de dezembro de 2023.
  https://legis.senado.leg.br/sdleg-getter/documento/download/507ca7c7-013d-4037-b3c3-30df14ed7810

• International IDEA. Electoral Management Design: Revised Edition. Estocolmo: International IDEA, 2014.
  https://www.idea.int/publications/catalogue/electoral-management-design-revised-edition

• Comissão de Veneza. Code of Good Practice in Electoral Matters: Guidelines and Explanatory Report. CDL-AD(2002)023rev2-cor. Conselho da Europa, 2002.
  https://www.venice.coe.int/webforms/documents/default.aspx?pdffile=CDL-AD(2002)023rev2-cor-e

• MIT Election Data + Science Lab. Post-Election Audits. Massachusetts Institute of Technology.
  https://electionlab.mit.edu/research/post-election-audits

• Verified Voting. Risk-Limiting Audits. Verified Voting Foundation.
  https://verifiedvoting.org/audits/

• The Carter Center. Election Obligations and Standards Handbook. 2ª edição, 2023.
  https://www.cartercenter.org/publication/election-obligations-and-standards-handbook/

• Brennan Center for Justice. Post-Election Audits: Restoring Trust in Elections. New York University School of Law.
  https://www.brennancenter.org/our-work/research-reports/post-election-audits-restoring-trust-elections

• Tribunal Constitucional Federal da Alemanha. Decisão BVerfG 2 BvC 3/07, 3 de março de 2009.
  https://www.bundesverfassungsgericht.de/SharedDocs/Entscheidungen/EN/2009/03/cs20090303_2bvc000307en.html

• Instituto Voto Legal. Por que a urna eletrônica brasileira é considerada inconstitucional na Alemanha?. Integridade Eleitoral, 11 de maio de 2025.
  https://voto.legal/p/por-que-a-urna-eletronica-brasileira

Tabela 1 - Evidência Física do Voto nos 30 Países Mais Populosos do Mundo (População 2022)

O Direito Legal de Fiscalizar Não é Decorativo

A Lei nº 9.504/1997 mostra-se inequívoca: os partidos podem fiscalizar todas as fases do processo de votação e apuração, inclusive o processamento eletrônico da totalização (art. 66). Mais do que isso, podem constituir sistema próprio de fiscalização e totalização, inclusive mediante contratação de empresas especializadas em auditoria de sistemas. Esse direito não carrega caráter simbólico. Reveste-se de prerrogativa operacional.

A legislação autoriza não apenas acompanhar, mas estruturar fiscalização técnica independente, com produção de evidência preservável e utilizável juridicamente. Fiscalizar não equivale a assistir. Requer:

• acessar dados

• reprocessar informações

• validar resultados

• documentar divergências

• preservar a cadeia de custódia.

Sem esses elementos, o direito legal existe apenas no papel.

Sistema Crítico Não Pode Depender de Autocontrole

Em engenharia de sistemas críticos, vigora uma regra elementar: quem desenvolve não audita, quem opera não certifica, quem administra não valida o próprio resultado. Essa regra atende pelo nome de segregação de funções. Sistemas eleitorais figuram entre os sistemas críticos de mais elevada sensibilidade institucional. Funcionam sob pressão política, alta exposição pública, risco reputacional sistêmico e impacto direto na legitimidade democrática.

A literatura internacional em segurança da informação aponta que ameaças internas (insider threats) respondem por quase 70% dos incidentes de segurança em grandes organizações. O risco não pressupõe necessariamente má-fé, pode ter origem em falha humana, conflito de interesse, erro de processo ou abuso de credencial. Quando o modelo depende exclusivamente de controles internos e testes organizados pelo próprio responsável pelo sistema, torna-se insuficiente, de acordo com o conhecimento consolidado. Autocontrole não substitui a auditoria independente, em nenhum país.

Testes Públicos Não Substituem Auditoria Fim a Fim

Eventos como os Testes Públicos de Segurança (TPS) do TSE mostram-se relevantes, mas apresentam escopo delimitado: avaliam cenários de ataque sob regras predefinidas e não substituem uma auditoria estruturada, que requer:

• matriz de riscos

• plano de evidências

• cadeia de custódia documental e independente

• reprocessamento externo

• contraditório técnico pleno.

A eleição configura um processo em camadas: desenvolvimento e build dos sistemas, geração de mídias e carga, votação, transmissão, totalização, publicação, e consolidação pós-eleitoral. A auditoria controlada pela entidade auditada revela-se insuficiente para um sistema crítico. A pergunta correta não indaga se “houve ataque”. Interroga se existem mecanismos externos que permitam demonstrar, com evidência independente, que o resultado anunciado corresponde exatamente ao que ocorreu.

Congelamento e Certificação Prévia: A Primeira Linha de Controle

Antes de qualquer teste ou auditoria de resultado, impõe-se uma condição lógica anterior: saber qual programa funcionou efetivamente nas urnas no dia da eleição. Isso exige dois mecanismos encadeados. Primeiro, o congelamento do código, que é o fechamento formal e irrevogável da versão dos programas que entrarão em operação, com registro de hash criptográfico verificável por terceiros, com antecedência ao início da carga das mídias nas urnas. Segundo, a certificação prévia independente, a validação, por entidade externa ao TSE, de que o programa congelado corresponde ao que se auditou, ao que se carregou nas urnas e ao que operou no dia do pleito.

Sem congelamento formal e certificação prévia independente, toda auditoria posterior opera sobre uma premissa não verificada: a de que o sistema executado correspondia ao sistema declarado. Em engenharia de software, essa premissa não se assume, demonstra-se. A cadeia de custódia do software eleitoral configura, portanto, condição de validade de qualquer auditoria subsequente. Não ocupa posição de etapa opcional. Apresenta-se como pré-requisito lógico e técnico de todo o processo de verificação.

Risco Sistêmico Reconhecido por Órgão de Controle

O Tribunal de Contas da União, no Relatório TC 014.328/2021-6, identificou riscos estruturais relevantes, incluindo fragilidades de governança e auditabilidade no sistema eleitoral. Independentemente de interpretação política, a identificação formal de riscos sistêmicos por órgão de controle externo impõe uma conclusão metodológica direta: sistemas críticos com risco identificado exigem controle independente proporcional ao risco. Não se trata de atacar o sistema eleitoral. Mostra-se necessário mitigar vulnerabilidades conhecidas.

O Isolamento Internacional do Modelo Brasileiro

Persiste uma pergunta empírica que raramente ingressa no debate doméstico: entre as maiores democracias do mundo, quantas adotam sistema de votação eletrônica sem qualquer comprovante físico verificável pelo eleitor? A resposta, com base nos dados do ICTs in Elections Database do International IDEA, apresenta-se direta e pouco confortável. Dos 30 países mais populosos do mundo, que somam aproximadamente 6,1 bilhões de pessoas, representando cerca de 76% da população global, 93,7% habitam países que utilizam cédula em papel ou alguma forma de VVPAT (Voter-Verified Paper Audit Trail): registro físico do voto, impresso pela máquina, verificável pelo eleitor e preservado para auditoria independente. Apenas dois países nesse grupo operam exclusivamente com urna eletrônica sem comprovante impresso: Brasil (7º lugar) e Bangladesh (8º lugar). Juntos, respondem por 6,3% da população total do grupo.

Entre os dez países mais populosos do mundo, o Brasil ocupa posição singular nessa condição. Índia, China, Estados Unidos, Indonésia, Paquistão, Nigéria, Rússia e México, todos adotaram alguma forma de evidência física verificável pelo eleitor e por auditores independentes. A distinção não remete a tecnologia mais ou menos avançada. Reside numa questão de metodologia de verificação. Países com sistemas eleitorais reconhecidos internacionalmente como robustos, Alemanha, Japão, Reino Unido, Coreia do Sul,Taiwan recorrem à cédula em papel precisamente porque ela produz evidência física independente do sistema eletrônico que a processa.

O consenso técnico internacional não admite ambiguidade: a rastreabilidade física do voto configura componente de integridade, não resíduo de atraso tecnológico.

Auditoria Pós-Eleitoral: A Pergunta Científica

Após a proclamação do resultado, existe uma única pergunta técnica relevante:

O número anunciado corresponde aos votos efetivamente registrados?

Diversas democracias respondem a essa pergunta por meio de auditorias pós-eleitorais baseadas em critérios estatísticos mensuráveis, como as Risk-Limiting Audits (RLAs). Instituições de referência como o MIT Election Data and Science Lab, a National Academies of Sciences, a Verified Voting Foundation e o International IDEA reconhecem tais auditorias como componente essencial de sistemas eleitorais robustos.

Auditar não representa ataque ao sistema eleitoral. Representa garantia de integridade dos resultados.

Sem material verificável independente, como trilhas auditáveis externas ou o comprovante físico de cada voto, a auditoria de resultado torna-se dependente do próprio sistema auditado, o que compromete sua eficácia.

Confiança Institucional se Constrói com Prova, Não com Declaração

Confiança pública não nasce de comunicados oficiais. Nasce de mecanismos verificáveis. Quando partidos estruturam auditoria independente, produzem três efeitos concretos: exercem direito legal expressamente previsto em lei, reduzem a assimetria informacional entre a Administração Eleitoral e os eleitores, candidatos e partidos, e elevam o padrão técnico do debate institucional.

Quando omitem essa iniciativa, abrem mão de produzir evidência própria e passam a depender exclusivamente da narrativa do administrador do sistema. Em ambiente polarizado, essa omissão não fortalece a confiança, ao contrário, fragiliza-a.

2026: Método ou Narrativa

As eleições de 2026 ocorrerão sob intenso escrutínio político e institucional. O debate não se resolverá por retórica. Será decidido pela presença, ou ausência, de governança formal, segregação clara de funções, congelamento e certificação prévia dos programas, auditoria independente fim a fim, evidência preservada com cadeia de custódia e capacidade técnica de reprocessamento externo.

O conhecimento técnico consolidado confirma que a auditoria independente não configura opinião, decorre logicamente de direito legal expresso e risco formalmente reconhecido. Ou o processo produz prova técnica independente, ou dependerá de confiança em um grupo restrito de servidores públicos, de modo unilateral. Os dados demonstram que a quase totalidade das maiores democracias do mundo adotaram o caminho técnicamente correto. O Brasil surge como exceção fora das melhores práticas.

Conclusão

Integridade eleitoral não se defende com fé institucional, nem se questiona com suspeita genérica. Defende-se com método, evidência, auditoria independente e governança transparente. O debate brasileiro precisa evoluir da narrativa para a técnica. E a técnica, em sistemas críticos, deve começar meses antes do dia da eleição, no momento em que os programas se congelam, se certificam e se entregam à fiscalização independente. Quando 93,7% da população dos 30 maiores países do mundo vivem sob sistemas com evidência física verificável, a pergunta relevante não indaga se o Brasil deveria convergir para esse padrão. Interroga-se por que ainda insiste no caminho errado.

Referências

Requisitos Essenciais para Garantir a Integridade dos Resultados Eleitorais

Esta bibliografia consolida fundamentos técnicos, estatísticos e normativos amplamente reconhecidos na literatura internacional sobre auditabilidade, verificabilidade e integridade eleitoral.

1. Comprovante em Papel do Voto (Cédula ou VVPAT)

• National Academies of Sciences, Engineering, and Medicine (2018). Securing the Vote: Protecting American Democracy. Washington, DC: The National Academies Press.

• Rivest, R. L., & Wack, J. (2006). On the Notion of Software Independence in Voting Systems. MIT & NIST.

• U.S. Election Assistance Commission (2021). Voluntary Voting System Guidelines (VVSG) 2.0.

• NIST (Auditability Working Group). Report of the Auditability Working Group.

• Mercuri, R. (2001). Testimony on electronic voting systems and voter-verifiable paper audit trails.

2. Verificação do Voto pelo Eleitor

• Lindeman, M., & Stark, P. B. (2012). A Gentle Introduction to Risk-Limiting Audits. IEEE Security & Privacy.

• Appel, A. W., & Stark, P. B. (2018). Evidence-Based Elections: Create a Meaningful Paper Trail, Then Audit. Georgetown Law Technology Review.

• Council of Europe (2017). Recommendation CM/Rec(2017)5 on standards for e-voting.

3. Contagem Pública dos Votos

• International IDEA. ICTs in Elections Database.

• International IDEA (2023). Use of E-Voting Around the World.

4. Auditoria Pós-Eleição (Recontagem de Papel / RLAs)

• MIT Election Data and Science Lab. (s.d.). Post-Election Audits. Este artigo/guia aborda em profundidade a teoria, os tipos e a prática de auditorias pós-eleitorais, incluindo RLAs, como complemento direto às referências de Stark, Lindeman, Goodman, e outros.

• Lindeman, M., & Stark, P. B. (2012). Risk-Limiting Audits: Theory and Practice.

• Goodman, S., et al. (2012). Risk-Limiting Post-Election Audits: Why and How.

• Stark, P. B. (2010). Super-Simple Simultaneous Single-Ballot Risk-Limiting Audits.

• National Academies (2018). Securing the Vote.

O voto direto é um direito fundamental seu, cidadão soberano. A Constituição1 garante isso. Mas uma questão importante surge com a urna eletrônica: como você pode saber se seu voto foi registrado corretamente? Hoje, você não consegue verificar se sua escolha foi contada da forma que votou. Isso é realmente voto direto? A solução é simples: perguntar a você e a todos os brasileiros. Proponho um plebiscito nacional com três opções. Primeira: voto em papel, contado publicamente. Segunda: voto eletrônico que imprime um comprovante para você conferir. Terceira: voto eletrônico com verificação digital segura. Cada brasileira e brasileiro escolheria como quer votar. A democracia não pode depender só da confiança. Precisa ser transparente. Precisa ser verificável. A decisão deve ser sua.

Sua soberania popular e o direito ao voto verificável

Você é soberano. A Constituição Federal de 1988 estabelece, no artigo 1º, parágrafo único, que "todo o poder emana do povo, que o exerce por meio de representantes eleitos ou diretamente"2. A sua soberania popular não é apenas um conceito abstrato: ela exige meios concretos para que você exerça o poder de forma consciente e verificável. O processo eleitoral deve garantir que você possa compreender, verificar e confirmar a forma como sua vontade é expressa e contabilizada.

Quando falamos de "voto direto", tradicionalmente nos referimos à sua escolha de representantes sem intermediários políticos. No entanto, em sistemas eletrônicos sem verificação sensorial, surge uma intermediação técnica invisível entre você e o resultado da eleição. Seu voto é processado por software que você não pode auditar, e o resultado depende da sua confiança no sistema e nos servidores públicos que desenvolvem e operam o sistema, sem controle externo independente, não de uma comprovação concreta que você pode verificar.

Importantes precedentes internacionais reconhecem essa limitação. O Tribunal Constitucional Federal da Alemanha, em decisão de 2009, considerou que sistemas eletrônicos de votação sem verificação violam o princípio do voto direto garantido na Constituição3. Decisões similares foram tomadas por tribunais da Holanda (2007)4, Irlanda (2012) e outros países. Esses precedentes demonstram que a questão da verificabilidade não é meramente técnica, mas constitucional.

Seu direito ao plebiscito e à legitimidade democrática

O plebiscito é uma ferramenta constitucional5 que permite a você e ao povo brasileiro deliberar diretamente sobre temas de alta relevância. A Lei 9.709/19986 regula sua convocação, que deve ser feita pelo Congresso Nacional7. Permitir que você e todos os brasileiros decidam, por voto direto e soberano, como querem que seu próprio voto seja registrado e contado representa a essência da democracia participativa.

Pesquisas indicam que a confiança nas instituições eleitorais varia significativamente entre países que adotam diferentes sistemas de votação8. No Brasil, dados do Informe Latinobarómetro 2024 revelam preocupações significativas sobre a saúde democrática, com 64% dos brasileiros considerando que a liberdade de expressão não é adequadamente garantida e 62% relatando que não expressam livremente suas opiniões sobre problemas do país9.

Análise comparativa dos sistemas: suas opções de voto

Primeira opção: seu voto em cédula de papel

O modelo tradicional que você pode escolher utiliza cédulas de papel. Você preencheria manualmente sua escolha, depositaria em urna transparente, e os votos seriam contados publicamente. Este modelo oferece máxima verificabilidade e controle social, permitindo que você acompanhe todas as etapas do processo.

Vantagens para você: Transparência total, auditabilidade completa que você pode verificar, resistência a ataques cibernéticos, baixo custo tecnológico. Apuração distribuída gera máxima robustez estatística.

Desafios para o país: Demanda logística robusta, maior tempo de apuração, vulnerabilidade a fraudes físicas, custos operacionais elevados em países continentais10.

Segunda opção: seu voto eletrônico com comprovante impresso

O modelo híbrido que você pode escolher combina tecnologia e transparência. Você faria sua escolha na urna eletrônica, que imprimiria um registro visível e anônimo do seu voto. Você conferiria esse comprovante antes de ele ser depositado automaticamente em urna lacrada. Em caso de dúvida, seria possível recontar os votos físicos.

Este sistema foi aprovado cinco vezes no Congresso Nacional, mas sua implementação foi suspensa duas vezes pelo Supremo11. Países como Índia12, Filipinas13, Venezuela14 alguns estados norte-americanos adotaram versões deste modelo com resultados positivos.

Vantagens para você: Equilibra eficiência e transparência, permite auditoria física que você pode acompanhar, mantém rapidez na apuração preliminar.

Desafios para implementação: Custos de implementação, complexidade técnica adicional, necessidade de treinamento dos mesários.

Terceira opção: seu voto eletrônico com verificação digital

O modelo atualmente utilizado no Brasil, baseado em urnas DRE (Direct Recording Electronic), oferece rapidez e eficiência operacional15. Após décadas de uso, demonstrou resistência a fraudes físicas e contribuiu para a redução significativa de votos nulos e brancos.

Vantagens para você: Rapidez na apuração, economia de papel, redução de erros de preenchimento, facilidade para pessoas com deficiência visual.

Limitações para sua verificação: Você não pode verificar o seu voto, nem a contagem pública, você tem que confiar no sistema e nos servidores públicos do TSE, riscos e vulnerabilidades identificados pelo TCU16.

Experiências internacionais: o que outros povos escolheram

A análise de diferentes países revela que não existe um modelo único ideal. Os Estados Unidos combinam diversos sistemas conforme a legislação estadual17. A Estônia é pioneira no voto eletrônico com assinatura digital, mas mantém a opção de voto presencial18. A Índia utiliza urnas eletrônicas com trilha de auditoria impressa para verificação do voto (VVPAT) após pressões da sociedade19.

Estudos comparativos mostram que a confiança pública no sistema eleitoral resulta mais da transparência do processo do que da tecnologia específica utilizada20.

O novo Código Eleitoral: por que você precisa dizer como quer o seu voto direto

O Projeto de Lei Complementar n.º 112/202121, que propõe o novo Código Eleitoral, apresenta lacunas quanto à exigência de voto verificável. Caso aprovado sem modificações, poderá consolidar, sem que você tenha voz no debate, um modelo de votação que não permite recontagem física nem controle social direto.

Ademais, o projeto contém dispositivos que podem restringir a convocação de plebiscitos sobre questões eleitorais22, violando o princípio da soberania popular e reduzindo os instrumentos de democracia direta previstos na Constituição.

Minha proposta de plebiscito: suas três opções claras

Proponho um plebiscito nacional que apresente três opções claras para você:

1. Seu voto em cédula de papel: Sistema tradicional com contagem pública e transparente que você pode acompanhar.

2. Seu voto eletrônico com comprovante impresso: Sistema híbrido que adota a tecnologia, mas permite a você verificar o comprovante impresso do seu voto.

3. Seu voto eletrônico com verificação digital: Sistema baseado em assinatura digital ICP-Brasil23, que permite a você conferir o documento eletrônico que registra o seu voto.

Conclusão: a decisão é sua

A decisão sobre como você vota deve caber a você. Esta proposta de plebiscito sobre a forma do seu voto direto não é ideológica nem partidária — é uma reivindicação democrática legítima, fundamentada na Constituição e em experiências internacionais.

Você tem o direito garantido na Constituição de escolher como quer exercer o seu voto direto, avaliando as vantagens e limitações de cada alternativa. Sua soberania popular não pode ser decidida por outras pessoas: ela precisa ser exercida, conferida e validada através de mecanismos transparentes e verificáveis.

O voto é seu. A decisão sobre como exercê-lo também deve ser sua.

Referências

Esta análise baseia-se em documetos oficiais e publicações do Tribunal Superior Eleitoral (TSE)1, em um parecer da Procuradoria Federal Especializada da Advocacia-Geral da União no ITI2 e na legislação federal3. A questão ganha relevância com a iminente votação do novo Código Eleitoral no Senado Federal, agendada para 9 de julho de 20254, que representa uma oportunidade histórica para regularizar uma situação que perdura há mais de duas décadas.

O marco legal sem margem para interpretação

Uma análise de documentos oficiais e declarações públicas do Tribunal Superior Eleitoral revela uma contradição fundamental no sistema de certificação digital das urnas eletrônicas brasileiras. Enquanto a legislação federal determina o uso exclusivo da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil)5 para todos os órgãos da Administração Pública Federal, o TSE mantém um sistema paralelo de certificação há mais de duas décadas.

Desde 2001, a Medida Provisória nº 2.200-2 estabeleceu a ICP-Brasil como o único sistema oficial de certificação digital no país. A norma é expressa: somente documentos eletrônicos assinados com certificados digitais emitidos no âmbito da ICP-Brasil possuem presunção legal de veracidade em atos públicos. Diversos órgãos da Administração Pública Federal6 seguem rigorosamente essa determinação, incluindo Banco do Brasil, Defesa, Inmetro, Presidência da República, Receita Federal, Serpro e dezenas de outras entidades que operam suas autoridades certificadoras dentro do framework da ICP-Brasil.

O Parecer da Procuradoria Federal junto ao ITI/AGU estabelece claramente:

"Tratando-se de certificação digital, os órgãos e entidades da Administração Pública Federal devem,obrigatória e exclusivamente, se utilizar da certificação digital provida no âmbito da ICP-Brasil. Em consequência, qualquer outra espécie de certificação digital encontra-se, por força de expressa determinação regulamentar, vedada à Administração Pública Federal."7

O texto legal aplicável é igualmente claro:

"As declarações constantes dos documentos em forma eletrônica produzidos com a utilização de processo de certificação disponibilizado pela ICP-Brasil presumem-se verdadeiros em relação aos signatários".8

O sistema paralelo: uma escolha institucional

Apesar do marco legal inequívoco, o TSE mantém uma infraestrutura própria de certificação digital — a Autoridade Certificadora das Urnas Eletrônicas (AC-Urna)9 — que opera independentemente da ICP-Brasil. Esta autoridade certificadora emite todos os certificados digitais utilizados nas urnas eletrônicas para assinar documentos eletrônicos críticos do processo eleitoral10:

• Zerésima (comprovante de que a urna estava zerada antes da votação)

• Boletim de Urna (BU)

• Registro Digital do Voto (RDV)

• Log de Urna

O próprio TSE reconheceu publicamente essa situação em 2021, quando declarou que "O TSE pretende ainda futuramente adequar sua Autoridade Certificadora das Urnas Eletrônicas também aos padrões ICP-Brasil, para ser subordinada à cadeia v7 (E-521).11" Esta declaração confirma que os técnicos da Corte Eleitoral têm consciência de que operam fora do framework legal estabelecido.

A tentativa de regularização que não avançou

Em 2017, o TSE assinou um Acordo de Cooperação Técnica com o Instituto Nacional de Tecnologia da Informação (ITI)12 para credenciar a AC-Urna dentro dos padrões da ICP-Brasil. O projeto visava "o aprimoramento da Autoridade Certificadora das Urnas Eletrônicas (AC-Urna) e o apoio técnico para a eventual implantação de Autoridade Certificadora da Justiça Eleitoral padrão ICP-Brasil".

Após oito anos, a AC-Urna continua fora da ICP-Brasil, sem explicações públicas detalhadas sobre os motivos. Esta situação sugere que a manutenção do sistema paralelo representa uma escolha institucional consciente, independentemente das exigências legais.

Comunicação técnica e transparência

O TSE frequentemente comunica que suas urnas "contam com certificação da ICP-Brasil”, referindo-se exclusivamente ao hardware — chips e algoritmos criptográficos. Esta é uma distinção técnica importante que pode gerar interpretações ambíguas sobre a real situação jurídica do sistema de certificação.

Quando a Corte Eleitoral anuncia que "Novas urnas eletrônicas contarão com certificação da ICP-Brasil"13, a certificação refere-se aos requisitos técnicos do hardware, não aos certificados digitais emitidos pela AC-Urna14. Esta distinção é fundamental: certificar hardware é diferente de certificar a autoridade certificadora que emite os certificados digitais das urnas.

Implicações práticas da não conformidade

A operação da AC-Urna fora da ICP-Brasil gera questões concretas:

Validade jurídica: Segundo a MP 2.200-2, Art. 10, § 1º15, apenas documentos eletrônicos assinados com certificados ICP-Brasil gozam de presunção legal de veracidade — os documentos da urna eletrônica não dispõem dessa presunção legal.

Auditoria independente: Terceiros interessados não conseguem validar os documentos eletrônicos gerados pela urna pelos mecanismos públicos e transparentes da ICP-Brasil16.

Controle externo: A AC-Urna não passa por auditorias externas exigidas pelo ITI e não publica a Declaração de Práticas de Certificação (DPC)17, documento técnico que descreve procedimentos de segurança.

Soluções técnicas disponíveis

Existem duas vias principais para regularizar a situação:

1. Credenciar a AC-Urna na ICP-Brasil18, submetendo-se a auditorias externas, publicando o DPC e aderindo às normas técnicas do ITI.

2. Adquirir certificados de autoridades já credenciadas na ICP-Brasil19, garantindo conformidade legal imediata.

Ambas as soluções são tecnicamente viáveis e juridicamente necessárias.

Oportunidade histórica no Senado Federal

Na próxima quarta-feira (9 de julho), os senadores da Comissão de Constituição e Justiça (CCJ) votarão o novo Código Eleitoral20. Esta representa uma oportunidade histórica para corrigir uma situação que perdura há 24 anos.

O novo Código Eleitoral já prevê regulamentação específica para auditoria das urnas eletrônicas, assegurando a diversas instituições o direito de fiscalização dos códigos-fonte, softwares e sistemas eletrônicos de votação. Este é o momento apropriado para incluir dispositivos que garantam a conformidade com a ICP-Brasil.

A questão institucional de fundo

O caso da AC-Urna ilustra uma questão institucional mais ampla: como garantir que o órgão responsável pela legitimidade do processo eleitoral opere dentro da própria legalidade? A Justiça Eleitoral não pode simultaneamente exigir conformidade legal de candidatos e partidos enquanto mantém sistemas próprios em situação de não conformidade.

A adequação à ICP-Brasil não representa interferência na autonomia da Justiça Eleitoral, mas sim o cumprimento de obrigações legais que se aplicam a todos os órgãos da Administração Pública Federal.

Recomendações para o novo Código Eleitoral

Para corrigir definitivamente essa situação, o novo Código Eleitoral deveria estabelecer:

• Prazo determinado para credenciamento da AC-Urna na ICP-Brasil

• Obrigatoriedade de auditoria externa dos sistemas de certificação

• Publicação obrigatória da Declaração de Práticas de Certificação

• Conformidade legal de todos os documentos eletrônicos gerados no processo eleitoral

Conclusão: legalidade como fundamento da transparência

Vinte e quatro anos após a criação da ICP-Brasil, a regularização da situação da AC-Urna permanece pendente. Esta questão compromete não apenas a segurança jurídica dos atos eleitorais, mas também a credibilidade institucional da Justiça Eleitoral.

Em um momento em que a confiança nas instituições democráticas é constantemente testada, manter sistemas paralelos de certificação representa um risco institucional desnecessário. A solução existe, é tecnicamente viável e é legalmente obrigatória.

A votação do novo Código Eleitoral no Senado Federal oferece uma oportunidade histórica para que a legislação estabeleça claramente os parâmetros de conformidade legal, garantindo que o sistema eleitoral brasileiro opere dentro dos marcos legais que regem toda a Administração Pública.

A transparência e a confiabilidade do processo eleitoral começam com o respeito às próprias normas legais. Esta é a oportunidade para que o Congresso Nacional garanta que a Justiça Eleitoral aplique a si mesma os mesmos padrões de legalidade que exige de todos os demais atores do processo democrático.

Referências

O impasse que trava a auditoria

Ao guardar dados pessoais junto com os votos, a urna brasileira coloca em risco o sigilo do voto, no caso de falha, e torna impossível a adoção do comprovante impresso auditável. O Supremo Tribunal Federal já decidiu duas vezes que a impressão do voto é inconstitucional neste modelo atual.

O argumento do STF foi claro: caso ocorra uma falha no equipamento, a identidade do eleitor seria exposta ao lado do conteúdo do seu voto. Uma violação constitucional que inviabiliza qualquer forma de auditoria com papel.

Especialistas como Diego Aranha (ex-UNICAMP) já demonstraram que os arquivos atuais da urna contêm informações que permitiriam traçar perfis e, em certas circunstâncias, reconstruir sequências de votação. O risco não é teórico, é real e operacional.

A solução: urnas sem dados pessoais

Para resolver esse impasse, é necessário remover da urna os dados dos eleitores e realizar a identificação e autenticação de outra forma. A proposta é revolucionária em sua simplicidade.

Como funcionaria: identifica-se o eleitor em um sistema separado, que emite uma autorização anônima para ele votar. Com essa autorização, ele acessa uma urna qualquer, entre várias disponíveis no local de votação.

O resultado: todas as urnas seriam iguais em cada estado, realizando uma votação completamente anônima, mesmo em caso de problemas no equipamento. Sem dados pessoais na urna, não há como associar um eleitor ao seu voto.

Benefícios além da auditoria

Essa mudança não resolve apenas o problema constitucional. Traz eficiência prática:

• Menos equipamentos: sem personalização por seção, é possível reduzir o número de urnas, gerando uma economia importante.

• Logística simplificada: preparação e transporte mais fáceis.

• Atendimento mais rápido, com uma fila única, para a identificaçaõ do eleitor, e outra, para a votação anônima.

• O eleitor pode votar em qualquer urna, entre várias disponíveis.

Mais importante: permite a auditoria independente. Como defendem especialistas internacionais, como Ronald Rivest (MIT), sistemas de votação só são seguros se for possível verificar resultados independentemente do software. Para isso, os votos precisam ser públicos e auditáveis, mas desvinculados da identidade do eleitor.

Exemplos internacionais

A separação entre identificação e votação é comum em democracias desenvolvidas. Alemanha e Canadá exigem cédulas de papel contadas publicamente por autoridades locais, processo que reduz substancialmente disputas sobre resultados. Na França, eleitores recebem cédulas pré-impressas, votam em cabines isoladas e depositam votos em urnas fiscalizadas por autoridades locais. Na Alemanha, o processo é secreto e direto, com verificação de identidade separada do ato de votar. Esses países mantêm sigilo absoluto enquanto permitem verificação pública dos resultados.

A implantação do voto auditável permitiria a todo eleitor verificar o seu voto, e viabilizaria a contagem pública, para assegurar a publicidade dos atos eleitorais.

Como o eleitor confere o seu voto?

Com a separação dos dados pessoais, a urna pode imprimir um comprovante físico do voto sem risco constitucional. O eleitor veria seu voto impresso através de um visor transparente, confirmaria se está correto e autorizaria o depósito do comprovante em uma urna lacrada. Em caso de erro, poderia cancelar e votar novamente.

O comprovante seria legível pelo eleitor, mas depositado automaticamente - sem manuseio que comprometesse o sigilo. Cada voto teria um número sequencial aleatório, impossibilitando qualquer rastreamento posterior à identidade.

Como se fará a auditoria quando necessária?

A auditoria se tornaria simples e transparente. Os comprovantes físicos ficariam armazenados em urnas lacradas, permitindo recontagem manual sempre que necessário. Partidos, candidatos e cidadãos poderiam acompanhar todo o processo.

Além disso, os dados eletrônicos dos votos - agora desvinculados de qualquer informação pessoal - poderiam ser publicados integralmente na internet. Qualquer pessoa, instituição ou partido político poderia fazer sua própria contagem independente e verificar se os resultados oficiais estão corretos.

A implantação do voto auditável permitiria a todo eleitor verificar o seu voto, e viabilizaria a contagem pública, para assegurar a integridade dos resultados.

O caminho à frente

Não se trata apenas de uma questão técnica. É um imperativo constitucional e condição para reconquistar a confiança popular no sistema eleitoral.

O Congresso Nacional tem agora a oportunidade de corrigir esse desequilíbrio entre dois princípios constitucionais: o sigilo da identidade do eleitor e a publicidade do voto e da contagem pública. A solução existe, é usada em democracias maduras e devolve ao eleitor seus direitos fundamentais: sigilo inviolável e possibilidade de verificar a contagem com os próprios olhos.

O caminho está traçado. Cabe ao Parlamento percorrê-lo.

Se aprovado como está na emenda do Senador Esperidião Amin ao novo Código Eleitoral, o voto auditável com o comprovante impresso do voto será novamente declarado inconstitucional pelo Supremo Tribunal Federal, por unanimidade. Esta será a terceira decisão da Corte nesse sentido, e o argumento usado pelos ministros será exatamente o mesmo das vezes anteriores: o voto impresso colocaria em risco o sigilo do voto previsto no artigo 14 da Constituição Federal [1]. Para eliminar a razão que tornou inconstitucional o voto auditável, é indispensável remover da urna eletrônica qualquer dado do eleitor que possa vincular a sua identidade ao seu voto. Sem essa melhoria, o voto auditável será inevitavelmente considerado inconstitucional pelo Supremo, pela terceira vez [2][3].

A proposta de emenda representa o avanço necessário para atender aos requisitos de auditabilidade e de publicidade constitucional[4] das eleições brasileiras, fortalecendo a confiança democrática através de um sistema tecnicamente robusto e juridicamente inquestionável. Contudo, sua efetiva implementação requer ajustes técnico-jurídicos fundamentais para assegurar sua validade legal, constitucionalidade e viabilidade operacional.

Urna Eletrônica com o comprovante impresso do voto apesentada pelo TSE em 2017

Melhorias indispensáveis

Registro digital de cada voto com validade jurídica

A urna eletrônica deve gerar um documento eletrônico com validade jurídica para registrar cada voto individualmente, como determina o art. 59, §4º da Lei nº 9.504/1997[5].

Esse registro não pode ser consolidado em um arquivo coletivo sem individualização jurídica — como ocorre atualmente com o RDV — mas sim emitido separadamente, com assinatura eletrônica qualificada baseada em certificado digital ICP-Brasil[6]. A simples impressão de um comprovante não dá validade jurídica ao registro do voto. A lei exige a geração de um documento eletrônico assinado com um certificado digital ICP-Brasil, para assegurar a presunção legal de veracidade[7].

Implementação de baixo custo no curto prazo

A implantação do Registro Digital de Cada Voto (RDCV)[8] não implica custos adicionais relevantes e pode ser feita no curto prazo, eliminando o principal argumento contrário ao comprovante impresso: a complexidade logística de construir e distribuir cerca de 500 mil impressoras adicionais para as eleições de 2026.

Remoção de dados de eleitores das urnas

Os dados dos eleitores devem ser removidos das urnas, de forma a eliminar o fundamento que levou o Supremo Tribunal Federal a declarar inconstitucional o voto impresso [2][3] nas decisões anteriores. A separação entre a identificação do eleitor e a votação, em si, é condição indispensável para preservar simultaneamente o sigilo constitucional [1] e permitir a auditabilidade pública [4], sem deixar qualquer margem para discussão jurídica. A votação deve se tornar completamente anônima.

Divisão do processo de votação em duas etapas

O processo de votação deve ser dividido em duas atividades independentes, realizadas em espaços distintos:

• Identificação e autenticação do eleitor online - com a entrega de uma senha de uso único (OTP) para cada votação, por mesários na entrada do local de votação.

• Votação anônima - feita em uma de várias urnas iguais disponíveis, em outra área do local de votação separada por cordões de segurança.

• Todas as urnas serão iguais - sem dados do eleitor, todas as urnas passam a ser iguais, assegurando o sigilo do voto, com a votação aleatória em qualquer urna. Esta padronização também facilita significativamente a manutenção, o treinamento de mesários e reduz custos operacionais de forma substancial.

A votação anônima, separada da identificação do eleitor, traz grandes vantagens logísticas, com a redução de custos: na diminuição do número de urnas necessárias, e na simplificação operacional e logística com todas as urnas iguais em cada unidade da federação. Será eliminado o custoso processo de personalizar cada urna eletrônica a uma sessão eleitoral específica, gerando economia estimada de milhões de reais em logística e configuração.

Essa separação pode ser comparada ao processo vivido por um passageiro em um aeroporto. Primeiro, o passageiro realiza o check-in no balcão ou usando o aplicativo da companhia aérea, onde se identifica e autentica sua viagem, recebendo um código único para prosseguir. Em seguida, passa de forma anônima por um dos vários equipamentos de raio-x no controle de segurança — todos idênticos e sem conexão direta com o check-in realizado. Da mesma forma, no processo eleitoral proposto, a identificação do eleitor ocorreria fora da urna, com o recebimento de uma OTP (senha única), enquanto a votação é feita de forma anônima e aleatória em qualquer urna disponível, sem qualquer vínculo com sua identidade.

Certificação independente obrigatória com 6 meses de antecedência

A urna eletrônica deve ser submetida a uma certificação técnica completa, abrangendo hardware, software e o processo de votação eletrônica, por laboratório independente credenciado no Inmetro. Este processo deve seguir padrões internacionais de auditoria eleitoral e ser finalizado com antecedência mínima de seis meses antes das eleições, garantindo tempo hábil para correções, auditoria independente dos resultados e assegurando que o equipamento atenda às especificações técnicas exigidas [10].

Congelamento e certificação do código-fonte

O código-fonte de todos os programas utilizados no sistema eletrônico de votação deve ser congelado com antecedência e submetido à certificação independente, garantindo que nenhuma alteração ocorra após a certificação, assegurando integridade e transparência.[10]

Um certificado digital ICP-Brasil em cada urna

Cada urna deve conter um certificado digital ICP-Brasil individual e único, necessário para gerar a assinatura eletrônica qualificada de todos os documentos oficiais emitidos pela urna: Zerésima, Registro Digital de Cada Voto (RDCV), Log de Urna e Boletim de Urna. Isso garante autenticidade, integridade e presunção legal de veracidade[7].

Auditoria independente com votação paralela

A auditoria do funcionamento da urna eletrônica deve ser conduzida por entidades independentes, com votação paralela em condições reais de uso, conforme previsto na Lei Eleitoral 9.504/1997[9]. A amostragem deve ser estatisticamente significativa para garantir validade dos resultados e identificar eventuais inconsistências.

Estas melhorias viabilizam a implantação gradual do comprovante impresso do voto, e eliminam argumentos contra a sua aprovação.

Cronograma de Implementação para 2026

• Até setembro de 2025: Aprovação das mudanças legislativas

• outubro de 2025 a março de 2026: Desenvolvimento e adaptação dos sistemas

• abril a junho de 2026: Certificação independente e testes

• julho a setembro de 2026: Treinamento e preparação logística

• outubro de 2026: Implementação nas eleições

Conclusão

Esses ajustes são indispensáveis para transformar a necessária proposta do voto auditável em um modelo seguro, viável e juridicamente inquestionável perante o Supremo Tribunal Federal. Além de resolver as questões técnicas e jurídicas, essas mudanças representam um avanço significativo para o fortalecimento da democracia brasileira, aumentando a transparência e a confiança pública no processo eleitoral. A urgência é clara: sem essas mudanças, a proposta será novamente declarada inconstitucional, e o Brasil perderá mais uma oportunidade de aperfeiçoar seu sistema eleitoral com base em critérios técnicos e jurídicos sólidos, alinhados às melhores práticas internacionais.

Referências

[1] Art. 14 da Constituição da República Federativa do Brasil
[2] STF - Ação Direta de Inconstitucionalidade (ADI) 4543
[3] STF - Ação Direta de Inconstitucionalidade (ADI) 5889
[4] Art. 37 da Constituição da República Federativa do Brasil
[5] Lei nº 9.504/1997 (art. 59, §4º)
[6] Artigo: Por que o RDV atual é um problema?
[7] Parecer nº 00378/2019/PROFE/PFE-ITI/PGF/AGU
[8] Artigo: O que é o RDCV e como ele resolve esses problemas?
[9] Lei nº 9.504/1997 (art. 66, §6º)
[10] TCU - Auditoria da votação eletrônica: possibilidades de atuação do controle externo
[11] Acórdão nº 2522/2021 – Plenário do TCU

O que é o Registro Digital do Voto (RDV)?

O RDV é um arquivo digital gerado pelas urnas eletrônicas que armazena todos os votos de uma eleição, misturados em um único documento. Ele é assinado eletronicamente com certificados emitidos pelo Tribunal Superior Eleitoral (TSE), mas fora do sistema da ICP-Brasil, que é o padrão oficial do Brasil para documentos eletrônicos. Além disso, o RDV é alterado a cada voto e só é assinado após o término da votação. Não existe, portanto, um registro digital de cada voto, como estabelece a Lei Eleitoral3.

Por que o RDV atual é um problema?

As leis brasileiras, como a Lei nº 14.063/20204 e a Medida Provisória nº 2.200-2/20015, exigem que documentos eletrônicos oficiais, como os registros de voto, usem assinaturas eletrônicas qualificadas, feitas com certificados digitais da ICP-Brasil. Esses certificados garantem que o documento é autêntico, não foi alterado e tem valor legal, como uma assinatura escrita à mão.

O RDV, porém, usa um formato que não é reconhecido pela ICP-Brasil, e é assinado com certificados emitidos pelo TSE6, que não têm validade jurídica para atos oficiais. Isso significa que os registros de voto atuais podem ser questionados legalmente, já que não seguem as normas exigidas. Além disso, o Tribunal de Contas da União (TCU), em 2021, apontou fragilidades no sistema eleitoral, como riscos de manipulação de dados e dificuldades de auditoria7, que poderiam ser resolvidos com uma solução que atende às leis.

O que é o RDCV e como ele resolve esses problemas?

O Registro Digital de Cada Voto (RDCV) é uma proposta para substituir o RDV. Ele registra cada voto em um documento eletrônico individual, assinado com um certificado digital ICP-Brasil instalado em cada urna. Os benefícios incluem:

• Conformidade com a lei: Atende às exigências da Lei nº 14.063/2020, garantindo validade jurídica aos registros de voto.

• Publicidade: Permite que o eleitor possa verificar o registro do seu voto, assegurando, no processo eleitoral, a publicidade exigida pelo Art. 37 da Constituição Federal8.

• Transparência: Permite que peritos independentes verifiquem os registros, respeitando o sigilo do eleitor, conforme exigido pela Constituição.

• Segurança: Cada voto é protegido por uma assinatura digital verificável por ferramentas públicas, como as fornecidas pelo Instituto Nacional de Tecnologia da Informação (ITI).

• Padrões internacionais: Organizações especializadas, como o International IDEA, o MIT Elections Data Sciense Lab e o The Election Integrity Project, recomendam sistemas que permitam a verificação pelo eleitor, rastreabilidade e auditoria, como o RDCV.

Por exemplo, imagine cada urna como um cartório digital: ao registrar um voto, ela "carimba" o arquivo com um selo oficial da ICP-Brasil, garantindo que ele é verdadeiro e não foi alterado. Isso facilita auditorias e aumenta a confiança no processo.

Por que certificados fora da ICP-Brasil são ilegais?

O Parecer nº 00378/2019/PROFE/PFE-ITI/PGF/9, da Advocacia-Geral da União (AGU), esclarece que Administração Pública não pode emitir certificados digitais fora da ICP-Brasil e que esta atividade é ilegal. A Lei nº 14.063/202 reforça que apenas assinaturas eletrônicas qualificadas, baseadas na ICP-Brasil, são aceitas para documentos que exigem alta confiabilidade, como o registro digital de cada voto. Outros tipos de assinaturas (simples ou avançadas) podem ser usados em cadastros ou consultas, mas não em eleições.

O que o novo Código Eleitoral pode fazer?

O novo Código Eleitoral, em discussão no Congresso, é uma oportunidade para corrigir esses problemas. Ele pode incluir um artigo exigindo que cada urna eletrônica use o RDCV com certificados ICP-Brasil, garantindo que os votos sejam registrados de forma segura, legal e auditável. Isso alinharia o Brasil às melhores práticas internacionais e responderia às preocupações do TCU sobre a segurança do sistema eleitoral.

Conclusão

O atual RDV, usado nas urnas eletrônicas, não atende às leis brasileiras, não assegura a publicidade exigida pela Constituição e apresenta riscos à segurança e à integridade das eleições. A adoção do RDCV com certificados ICP-Brasil é uma solução prática e legal para garantir que cada voto seja registrado com autenticidade, integridade e presunção legal de veracidade. Esta mudança fortalece a democracia, aumenta a confiança da população e alinha o Brasil aos padrões globais de eleições seguras.

Anexo Técnico-Jurídico: Detalhamento sobre o RDCV e a Conformidade com a ICP-Brasil

1. Base Legal e Normativa

A obrigatoriedade de certificados digitais da ICP-Brasil para atos da Administração Pública é fundamentada na Medida Provisória nº 2.200-2/2001, que institui a ICP-Brasil como o sistema oficial para garantir autenticidade, integridade e validade jurídica de documentos eletrônicos. A Lei nº 14.063/2020 complementa essa norma, definindo três tipos de assinaturas eletrônicas:

• Simples: Para interações de baixa criticidade, como cadastros (art. 4º, inciso I).

• Avançada: Vinculada ao signatário, mas sem exigência de certificado ICP-Brasil (art. 4º, inciso II).

• Qualificada: Baseada em certificados ICP-Brasil, obrigatória para atos que exigem presunção de validade jurídica, como registros eleitorais (art. 4º, inciso III).

A Lei nº 9.504/1997 (art. 59, §4º, alterado pela Lei nº 10.740/2003) determina que as urnas eletrônicas devem registrar cada voto com assinatura digital, garantindo anonimato e identificação da urna. Com a Lei nº 14.063/2020, a "assinatura digital" é interpretada como assinatura eletrônica qualificada, exigindo certificados ICP-Brasil.

2. Incompatibilidade do RDV com a ICP-Brasil

O Registro Digital do Voto (RDV), gerado pelas urnas eletrônicas, é assinado em formato binário ASN.1 com certificados digitais emitidos internamente pelo TSE, fora da ICP-Brasil. Contudo, o DOC-ICP-15.01 do Instituto Nacional de Tecnologia da Informação (ITI) estabelece que assinaturas eletrônicas qualificadas devem:

• Utilizar certificados digitais válidos da ICP-Brasil.

• Estar em formatos padronizados (CAdES, XAdES ou PAdES).

• Ser verificáveis por ferramentas públicas e interoperáveis.

O formato ASN.1 não está entre os padrões reconhecidos, e os certificados da urna eletrônica, emitidos fora da ICP-Brasil, não conferem presunção de validade jurídica, conforme o Parecer 00378/2019/PROFE/PFE-ITI/PGF/AGU de 2019. Esse parecer conclui que certificados fora da ICP-Brasil são ilegais para atos oficiais, devido a riscos de insegurança jurídica e falta de interoperabilidade.

3. Fragilidades do Sistema Atual

O Acórdão nº 2522/2021 do Tribunal de Contas da União (TCU) aponta vulnerabilidades no sistema eleitoral, incluindo:

• Baixa governança no desenvolvimento e manutenção de sistemas.

• Fragilidades na auditabilidade, dificultando a verificação independente.

• Riscos de quebra de sigilo do voto e manipulação de dados.

• Possibilidade de acesso indevido ou vazamento de informações.

Esses problemas poderiam ser mitigados com a adoção do RDCV, que utiliza certificados ICP-Brasil e formatos padronizados, permitindo auditoria por peritos independentes.

4. Benefícios do RDCV

O Registro Digital de Cada Voto (RDCV) propõe que cada urna eletrônica registre os votos com uma assinatura eletrônica qualificada, usando um certificado digital individual emitido pela ICP-Brasil. Os benefícios incluem:

• Conformidade legal: Atende à Lei nº 14.063/2020 e à MP nº 2.200-2/2001.

• Auditabilidade: Permite verificação por ferramentas públicas, como o Verificador de Assinaturas do ITI.

• Interoperabilidade: Usa formatos (CAdES, XAdES, PAdES) compatíveis com sistemas nacionais e internacionais.

• Segurança: Garante autenticidade e integridade, preservando o anonimato do eleitor.

• Alinhamento internacional: Segue recomendações de organizações como o International IDEA (2020, Adoption of Voting Technology, seção 3.2) e o MIT Election Data and Science Lab para rastreabilidade e publicidade.

5. Proposta para o Código Eleitoral

O novo Código Eleitoral deve atualizar o art. 59, §4º, da Lei nº 9.504/1997, para exigir o RDCV com certificados ICP-Brasil. Sugestão de redação:

Art. 59, §4º: A urna eletrônica deve registrar digitalmente cada voto em um documento eletrônico com assinatura eletrônica qualificada, conforme padrões da ICP-Brasil, garantindo autenticidade, integridade, anonimato do eleitor, presunção legal de veracidade e auditabilidade por ferramentas públicas, em conformidade com a Lei nº 14.063/2020.

6. Comparação RDV vs. RDCV

O Registro Digital do Voto (RDV), atualmente utilizado nas urnas eletrônicas, apresenta limitações críticas em relação ao Registro Digital de Cada Voto (RDCV) proposto. O RDV utiliza certificados digitais emitidos pela Autoridade Certificadora Urnas (AC Urnas), que opera fora da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), e é estruturado em formato binário ASN.1, não reconhecido pelos padrões da ICP-Brasil. Conforme o Parecer nº 00378/2019/PROFE/PFE-ITI/PGF/AGU de 2019, da Procuradoria Federal Especializada junto ao Instituto Nacional de Tecnologia da Informação (ITI), a emissão de certificados fora da ICP-Brasil é ilegal para atos da Administração Pública que exigem validade jurídica plena, como os registros eleitorais. Esse parecer, fundamentado na Medida Provisória nº 2.200-2/2001, destaca que apenas certificados ICP-Brasil conferem presunção de autenticidade e integridade a documentos eletrônicos oficiais. Assim, o RDV não possui validade jurídica garantida e tem auditabilidade limitada, dependendo exclusivamente de ferramentas controladas pelo Tribunal Superior Eleitoral (TSE).

Em contraste, o RDCV propõe que cada urna eletrônica registre os votos com assinaturas eletrônicas qualificadas, utilizando certificados digitais emitidos pela ICP-Brasil. Esses certificados, instalados individualmente em cada urna, geram assinaturas nos formatos padronizados CAdES, XAdES ou PAdES, conforme exigido pelo DOC-ICP-15.0110 do ITI e pela Lei nº 14.063/202011. O RDCV assegura validade jurídica plena, permitindo que os registros sejam verificados por ferramentas públicas e interoperáveis, facilitando auditorias por peritos independentes. Além disso, atende às normas nacionais e às recomendações internacionais de integridade eleitoral, como as do International IDEA12 e do MIT Election Data and Science Lab13, promovendo maior segurança, transparência e confiança no processo eleitoral.

7. Conclusão Técnica

A substituição do RDV pelo RDCV é essencial para alinhar o processo eleitoral às normas da ICP-Brasil, garantindo validade jurídica, publicidade e segurança. O uso de certificados fora da ICP-Brasil, como os da AC Urnas, é ilegal para atos oficiais, conforme o Parecer nº 00378/2019/PROFE/PFE-ITI/PGF/AGU14. O RDCV atende às exigências legais, responde às preocupações do TCU e alinha o Brasil aos padrões internacionais de integridade eleitoral.

Referências

A votação do novo Código Eleitoral no Senado Federal ocorrerá nesta semana. O projeto busca unificar e modernizar a legislação eleitoral brasileira, mas carrega riscos concretos de retrocessos institucionais. Para assegurar que a nova legislação fortaleça — e não fragilize — a confiança pública nas eleições, é urgente corrigir seis pontos críticos:

Garantia do direito de fiscalização plena pelos partidos políticos

Os partidos políticos devem manter o direito absoluto de fiscalizar todas as etapas do processo eleitoral — da geração dos sistemas à totalização dos votos. Esse direito, assegurado pela Lei Eleitoral nº 9.504/1997, é essencial para o controle institucional, a transparência pública e a confiança no resultado das eleições. A sua exclusão, prevista no novo texto, representa um grave retrocesso e reduz a capacidade da sociedade de verificar a integridade do processo eleitoral.

Remoção de dispositivos que criminalizam a crítica legítima ao sistema eleitoral

O novo Código não deve incluir normas penais que possam ser usadas para punir a crítica técnica, política ou institucional ao sistema eleitoral. Criminalizar opiniões ou questionamentos públicos ameaça a liberdade de expressão, enfraquece o debate democrático e abre espaço para abusos de autoridade e censura. O combate à desinformação não pode ser instrumento de repressão ao dissenso legítimo.

Registro digital de cada voto com certificação ICP-Brasil e comprovante impresso auditável

Cada voto deve gerar um documento eletrônico individual — o Registro Digital de Cada Voto (RDCV) — assinado com um certificado digital da ICP-Brasil, instalado individualmente em cada urna eletrônica. Só a assinatura eletrônica qualificada confere autenticidade, integridade e validade jurídica ao voto. Após a assinatura, o conteúdo deve ser exibido ao eleitor para conferência visual e, em seguida, impresso como comprovante para auditoria pública, sem conter qualquer dado de identificação pessoal.

Adoção de padrões rigorosos de segurança da informação

Todos os sistemas utilizados no processo eleitoral — do cadastro à totalização dos votos — devem operar sob um Sistema de Gestão de Segurança da Informação (SGSI) certificado na norma internacional ABNT NBR ISO/IEC 27001. Cada urna eletrônica deve possuir um certificado digital exclusivo, garantindo rastreabilidade e proteção contra fraudes internas. Sem esses requisitos, não há como assegurar a confiança técnica e jurídica no sistema.

Votação em duas etapas independentes

A identificação do eleitor e a votação devem ocorrer em sistemas tecnicamente separados, garantindo o sigilo absoluto do voto e impedindo qualquer associação entre identidade e escolha. Essa separação fortalece a privacidade do eleitor, possibilita auditoria independente dos resultados e reduz significativamente os custos operacionais e logísticos do processo eleitoral.

Separação entre funções administrativas e jurisdicionais

O processo eleitoral deve ser conduzido por uma autoridade técnica e autônoma, desvinculada do órgão que exerce função jurisdicional. Hoje, o TSE acumula funções normativas, administrativas e judiciais, gerando conflitos de interesse e comprometendo a imparcialidade institucional. Separar quem organiza da instância que julga é essencial para restaurar o equilíbrio entre os Poderes e a legitimidade do sistema.

Conclusão

O novo Código Eleitoral pode ser um marco de modernização democrática — ou um instrumento de fragilização institucional. A diferença está nas decisões que serão tomadas agora. Que o Senado tenha a coragem de corrigir o curso e garantir um sistema eleitoral verdadeiramente íntegro, seguro e auditável.

Imagine que você tem o direito de conferir a conta do restaurante antes de pagar, mas nunca foi informado. Pior: agora que sabe, decide abrir mão desse direito sem explicação. Absurdo? É exatamente o que os partidos brasileiros estão fazendo com o poder de fiscalizar as eleições.

Enquanto o debate público sobre segurança eleitoral segue aquecido, um dispositivo legal pouco conhecido passa despercebido: desde 1997, os partidos têm o poder de auditar cada detalhe do processo eleitoral. Mas não usam esse direito.

O superpoder esquecido e o que ele permite

A Lei Eleitoral é cristalina: "Os partidos poderão fiscalizar todas as fases do processo de votação e apuração das eleições e o processamento eletrônico da totalização dos resultados.” (Art. 66) Não é "quando sobra tempo" ou "algumas etapas". É tudo: do início ao fim, sem exceção. O parágrafo 7º entrega o ouro: os partidos podem criar seus próprios sistemas de fiscalização, apuração e totalização dos resultados, com técnicos próprios, e ter acesso total aos mesmos dados do sistema oficial de apuração e totalização.

Diferente do Brasil, na Alemanha, o eleitor pode confirmar seu voto, e a contagem de cédulas é feita publicamente por comitês com membros de diferentes partidos, tornando tentativas de manipulação praticamente impossíveis. No Brasil, os partidos têm poderes robustos, que tem sido subutilizados. Cada partido pode:

• Exigir a certificação prévia independente de equipamentos e sistemas usados nas eleições.

• Contratar especialistas para verificar a segurança de todas as etapas, processos, sistemas e equipamentos usados nas eleições.

• Realizar uma votação paralela, em condições reais de uso em seções eleitorais, para verificar o funcionamento da urna eletrônica, sem depender de funcionários da Justiça Eleitoral.

• Exigir que cada urna use um certificado digital ICP-Brasil para assinar os documentos gerados e impressos pela urna.

• Contratar uma auditoria de segurança da informação, com base na norma ABNT NBR ISO/IEC 27001, para o ecossistema eleitoral.

• Fazer contagens paralelas com base nos mesmos dados do sistema oficial.

• Auditar sistemas e processos eleitorais sem restrições.

Os partidos têm carta branca para assegurar que a nossa eleição seja íntegra.

O problema e a solução que já existem

Uma auditoria do TCU revelou um problema grave: o TSE, que organiza as eleições, é o único que atesta sua própria lisura. Isso cria uma "assimetria de informações" que deixa a sociedade no escuro. Segundo o MIT Election Lab, auditorias pós-eleitorais são "críticas para a segurança eleitoral e a confiança dos eleitores em eleições grandes e pequenas", pois garantem que as tecnologias eleitorais funcionaram corretamente e que os vencedores foram declarados com precisão. A solução? Os partidos usarem o poder que já têm.

Países como Canadá e Noruega usam auditorias independentes para validar eleições confiáveis. No Brasil, os partidos poderiam fazer o mesmo com quatro ações:

1. Antes da eleição: Certificar que urnas e sistemas funcionem corretamente, de acordo com especificações públicas.

2. Após a eleição: Conferir se a contagem oficial reflete a realidade.

3. Por amostragem: Verificar urnas aleatoriamente, como uma blitz.

4. Contínua: Fiscalizar 24 horas por dia, do começo ao fim.

O paradoxo brasileiro

A contradição é evidente: partidos que gritam por transparência nas redes sociais ignoram os poderes que já têm para fiscalizar as eleições. É como reclamar da escuridão, quando bastaria acender a luz. Por quê? Algumas possibilidades:

• Desconhecimento: Muitos parlamentares não sabem como usar seus direitos.

• Comodismo: É mais fácil reclamar nas redes do que auditar de verdade.

• Complexidade operacional: Implementar fiscalização efetiva pode exigir recursos e expertise que nem todos os partidos possuem.

• Outros interesses: Alguns preferem a polêmica à transparência.

Seja qual for o motivo, o resultado é o mesmo: a democracia perde.

Segundo o TSE, "o sistema eleitoral brasileiro é auditável, seguro e confiável, tendo sido testado e aprovado em mais de 20 eleições". A questão, porém, permanece: se os mecanismos de fiscalização partidária existem há mais de 25 anos, por que não são utilizados para complementar essa segurança?

A base legal e a desistência oficial

Esse direito não é favor, é lei. A Constituição garante que todo poder emana do povo, e a Lei Eleitoral dá aos partidos o poder absoluto de fiscalizar em nome dos eleitores. Mesmo assim, a Câmara já aprovou, e o Senado agora debate um novo Código Eleitoral. A grande questão é: por que os partidos querem abrir mão do poder de garantir eleições transparentes? Se as ferramentas existem há 25 anos e especialistas confirmam sua importância, por que desistir agora?

Se gostou, compartilhe este artigo com o seu parlamentar.

Referências jurídicas e técnicas (clique no link para acessar)

• Art. 66 da Lei Eleitoral 9.504 de 1997

• Relatório com o Substitutivo em 26/05/2025

• Projeto de Lei Complementar Nº 112/2021

• Parágrafo único do Art. 1º da Constituição Federal de 1988

• Lei Fundamental da Alemanha (Grundgesetz), art. 20 e jurisprudência BVerfG 2 BvC 3/07

Uma crise que ameaça o futuro

O Brasil vive um momento delicado. Uma crise institucional corroi os alicerces da democracia, com o Judiciário assumindo papéis que vão além de suas funções constitucionais. Decisões de cunho político tomadas por tribunais minam a separação dos Poderes, princípio consagrado no artigo 2º da Constituição Federal, que exige independência e harmonia entre Legislativo, Executivo e Judiciário.

O Informe Latinobarómetro 2024 revela que apenas um terço dos brasileiros confia no sistema eleitoral. O Brasil fica atrás de países como Chile e Uruguai, onde a confiança chega a 60%. Dados do IPEC 2024 reforçam esse cenário: o sistema eleitoral obteve apenas 54 pontos numa escala de 0 a 100, indicando confiança moderada. Isso evidencia que a confiança plena no TSE está longe de ser majoritária.

Como alertou Aldo Rebelo, ex-presidente da Câmara dos Deputados, "o país enfrenta uma insegurança institucional mais grave que a jurídica, onde as funções de cada Poder se confundem". Essa erosão progressiva compromete a confiança dos cidadãos no sistema democrático.

O problema do árbitro que também joga

No cerne dessa crise está o sistema eleitoral brasileiro, onde o Tribunal Superior Eleitoral (TSE) controla tudo. Imagine um jogo de futebol em que o mesmo árbitro faz as regras, joga em um dos times, fiscaliza o campo e decide quem vence. Assim é o TSE hoje: ele escolhe um lado, elabora normas, desenvolve sistemas, executa eleições, fiscaliza sua própria aplicação e julga conflitos. Essa concentração de poderes viola o princípio da separação dos Poderes e cria conflitos de interesse estruturais.

Essa situação fragiliza a governança democrática. A ausência de segregação de funções compromete a imparcialidade percebida do processo eleitoral, minando a confiança pública. Um sistema eleitoral robusto não pode depender apenas da boa-fé de seus gestores, mas de mecanismos transparentes e auditáveis que garantam legitimidade.

A solução é a Agência Nacional Eleitoral

O caminho para reconstruir a confiança e pacificar o debate sobre a legitimidade das eleições começa com uma nova arquitetura institucional: a criação da Agência Nacional Eleitoral (ANE). Trata-se de um órgão autônomo vinculado ao Congresso Nacional, inspirado na Electoral Commission do Reino Unido. Criada em 2000, a comissão britânica separou as funções eleitorais, garantindo integridade e transparência às eleições. No Brasil, a ANE teria uma missão clara: organizar e executar eleições sob normas públicas e auditáveis, sem legislar, julgar ou se autoauditar.

Essa separação de funções alinha-se aos princípios constitucionais da impessoalidade, moralidade, publicidade e eficiência (artigo 37 da Constituição). Ao transferir a execução das eleições para um órgão independente, o Brasil restauraria o equilíbrio entre os Poderes e fortaleceria a confiança no processo democrático.

Como a ANE funcionaria na prática

A ANE seria responsável por coordenar as eleições com transparência e rigor técnico. Suas principais funções incluiriam:

• Certificação de urnas e sistemas digitais: A tarefa seria delegada a entidades técnicas independentes, credenciadas e auditadas, garantindo isenção e qualidade.

• Auditorias transparentes: Partidos políticos e organizações da sociedade civil teriam acesso isonômico a dados e controles, permitindo a fiscalização baseada em evidências.

• Padrões internacionais: A ANE adotaria práticas como o princípio da independência do software, desenvolvido pelo Professor Ronald Rivest, PhD do MIT. Esse conceito garante que qualquer alteração ou falha em sistemas eletrônicos seja detectável por auditorias externas, um pilar essencial para a confiabilidade eleitoral.[1]

• Publicidade e proteção do sigilo: A ANE implantaria o comprovante impresso do voto, permitindo que o eleitor verifique sua escolha, e a contagem pública dos votos, além de remover dados pessoais do eleitor das urnas eletrônicas, eliminando qualquer possibilidade de violação do sigilo do voto.

A inspiração britânica é um exemplo concreto. A Electoral Commission do Reino Unido opera com autonomia, submetendo-se a normas claras e auditorias independentes. No Brasil, a ANE poderia seguir esse modelo, adaptando-o às particularidades nacionais, como a extensão territorial e a complexidade do sistema de votação eletrônica.

[1] Independência do software refere-se a um princípio técnico que assegura que sistemas eletrônicos, como urnas eletrônicas, sejam projetados para permitir auditorias externas que detectem qualquer alteração ou falha, garantindo a integridade do processo eleitoral.

Por que agora? A urgência da reforma

A criação da ANE não é apenas uma solução técnica, mas um imperativo democrático. Personalidades do direito e da política têm alertado para a urgência da questão. O jurista Modesto Carvalhosa cobra que o STF respeite seu papel de tribunal constitucional. O deputado Luiz Philippe de Orléans e Bragança alerta para os riscos crescentes do ativismo judicial.[2] O professor Luciano de Castro propõe um novo pacto constitucional para o país.

Alguns podem questionar como a ANE garantiria sua própria independência política ou como seria financiada. A proposta prevê que a ANE seja vinculada ao Congresso, com nomeações transparentes e apartidárias, e que seu orçamento seja definido por lei, com auditorias externas para evitar influências indevidas.

O momento para agir é agora. A tramitação do novo Código Eleitoral no Congresso Nacional oferece uma oportunidade única para instituir a ANE. Essa reforma não requer rupturas institucionais, mas um aperfeiçoamento técnico que alinha o Brasil às melhores práticas internacionais.

[2] Ativismo judicial ocorre quando juízes extrapolam suas funções constitucionais, tomando decisões que competem a outros Poderes, como o Legislativo ou o Executivo.

Uma oportunidade histórica

A democracia brasileira depende de quatro pilares: regras claras, execução imparcial, fiscalização independente e publicidade dos atos administrativos. A legitimidade das eleições não pode repousar apenas na autoridade de quem as conduz, mas em um sistema robusto, público e auditável.

A criação da ANE é mais que uma reforma técnica — é um passo para construir a confiança dos cidadãos e fortalecer as instituições. Com a polarização política e a falta de total confiança nas urnas eletrônicas, a ANE surge como uma solução para unir o país em torno de um processo eleitoral em que todos possam confiar.

O Congresso Nacional tem em suas mãos uma chance histórica de liderar essa transformação. Cabe aos parlamentares agir com coragem e responsabilidade, consolidando a democracia brasileira para as próximas gerações. A ANE não é apenas uma proposta, é um chamado à ação para garantir que o Brasil volte a ser uma democracia vibrante e confiável.

Voto como Medida e Confiança como Base

Quando se pensa em sistemas eleitorais como ferramentas técnicas, é possível traçar um paralelo direto com instrumentos de medição. Um sistema eleitoral, ao fim e ao cabo, mede a vontade do eleitorado. Assim como uma balança mede o peso de um produto, um sistema eleitoral precisa registrar e apurar com precisão o voto individual, transformando-o em dados confiáveis que orientam decisões institucionais. A confiança nesse processo não é um adorno: é a base para que os resultados possam ser recebidos como legítimos e operacionais.

Precisão, Exatidão, Resolução e Incerteza

Assim como qualquer instrumento de medição, o sistema eleitoral deve seguir critérios rigorosos para que seus resultados sejam consistentes e verificáveis. Esses critérios envolvem quatro pilares fundamentais: precisão, exatidão, resolução e incertezas. A precisão se refere à capacidade do sistema repetir os mesmos resultados sob as mesmas condições. Já a exatidão diz respeito à proximidade entre o valor medido – neste caso, o total de votos atribuídos – e o valor verdadeiro da escolha do eleitorado.

A resolução, por sua vez, trata da menor variação detectável pelo sistema. Em pleitos com diferenças mínimas de votos entre candidatos, essa capacidade torna-se decisiva. Por fim, as incertezas de medição representam as margens inevitáveis de erro, que podem decorrer de fatores como falhas técnicas, ruídos nos dados ou interação inadequada entre homem e máquina. Esses conceitos, comuns na metrologia, são cruciais para garantir que uma eleição possa ser auditável e tecnicamente confiável, isto é, com baixa probabilidade de erros.

Parâmetros Técnicos e a Legitimidade da Medição

Em processos industriais, a confiança metrológica é sustentada por uma cadeia de confiança: certificação, aferição, manutenção e verificação independente. O mesmo princípio deve ser aplicado ao sistema eleitoral. A Lei 5.966, de 1973, que instituiu o Sistema Nacional de Metrologia, serve de base para esse raciocínio. Equipamentos como balanças comerciais só podem ser utilizados após aprovação de modelo, verificação inicial e inspeções periódicas. O mesmo deveria valer para os equipamentos de votação. [1]

Nesse contexto, o papel do órgão certificador é essencial. Deve haver verificação técnica do hardware, validação independente do software e inspeção da integridade do processo como um todo. Esse ciclo contínuo de aferição gera uma cadeia de confiança que precisa estar clara ao eleitor, mesmo que ele não tenha formação técnica. A clareza dos procedimentos, a transparência dos testes e a existência de mecanismos de recontagem são partes integrantes desta estrutura.

A Balança da Padaria

A metáfora da balança de padaria é útil aqui. O freguês vê o selo do Inmetro, acompanha a pesagem e pode solicitar a conferência do valor pago. De forma análoga, o eleitor deveria poder verificar que o equipamento está aferido, que seu voto foi corretamente registrado e que, em caso de dúvida, o processo permite a recontagem pública. Esses elementos não são símbolos de perfeição, mas de confiabilidade técnica – o que é bem diferente. [2]

Auditorias Pós-Eleitorais Obrigatórias

Nos Estados Unidos, o estado do Colorado adota auditorias pós-eleitorais obrigatórias conhecidas como Risk-Limiting Audits (RLAs), que utilizam métodos estatísticos para verificar se o resultado eletrônico de uma eleição corresponde ao resultado que seria obtido por uma contagem manual dos votos em papel. Essas auditorias são abertas ao público e geram evidências objetivas que aumentam a confiança no processo [3].

A Publicidade Constitucional

A experiência recente da Alemanha oferece um alerta importante. A Corte Constitucional Federal rejeitou o uso de sistemas eletrônicos de votação ao considerar que o processamento eletrônico é, por natureza, opaco para o eleitor comum, impedindo a formação de uma cadeia de confiança baseada em evidências objetivas. Nesse entendimento, o processo deve ser verificável por qualquer cidadão, mesmo sem conhecimentos técnicos especializados [4].

Aplicando ao sistema eleitoral

Em processos eleitorais, como em qualquer sistema de medição, é fundamental que existam condições razoáveis de aceitabilidade dos resultados. Isso envolve assegurar que o sistema e seus componentes foram certificados, aferidos, calibrados e operados dentro de parâmetros verificáveis.

Conclusão: A confiança no sistema eleitoral deve ser resultado de sua governança técnica, e não um ato de fé. A aplicação de conceitos metrológicos reforça a necessidade de auditabilidade plena, rastreabilidade e certificação independente de todo o ciclo de vida da votação eletrônica. Transparência e controle externo são os pilares para assegurar a legitimidade e operacionalidade dos resultados eleitorais.

Referências jurídicas e técnicas (clique no link para acessar)

[1] Lei nº 5.966, de 11 de dezembro de 1973. Institui o Sistema Nacional de Metrologia, Normalização e Qualidade Industrial (Sinmetro).

[2] Inmetro – Instituto Nacional de Metrologia, Qualidade e Tecnologia. Metrologia Legal no Brasil.

[3] Colorado Secretary of State. Risk-Limiting Audit Program.

[4] Lei Fundamental da Alemanha (Grundgesetz), art. 20 e jurisprudência BVerfG 2 BvC 3/07

Pontes de Miranda e a soberania popular: Pontes de Miranda, se vivo estivesse, diria com a tranquilidade dos sábios: a urna eletrônica brasileira, do jeito que está, seria inconstitucional — não só na Alemanha, mas em qualquer país onde o conceito de publicidade dos atos públicos seja levado a sério. Ninguém no Brasil compreendeu tão bem o espírito do direito constitucional comparado entre o nosso país e a Alemanha quanto ele. Pontes de Miranda já afirmava com clareza o que significa a publicidade dos atos administrativos: "sem publicidade, não há soberania popular autêntica; é necessário que o povo veja, compreenda e, se preciso, conteste os atos de quem exerce funções públicas em seu nome".

A decisão do Tribunal Constitucional da Alemanha: Na Alemanha, essa ideia virou jurisprudência. Em 2009, o Tribunal Constitucional Federal, a mais alta corte do país, olhou para as urnas do tipo DRE (Direct Recording Electronic), que não emitem comprovante físico do voto, e deu o veredito: inconstitucionais. Simples assim. O motivo? Elas impedem que qualquer cidadão, mesmo sem ser especialista em tecnologia, consiga verificar com os próprios olhos se o voto dado foi o voto registrado e contado. E isso, disse a corte, viola o princípio da publicidade das eleições — um princípio que não está apenas implícito na Lei Fundamental da Alemanha, mas que é a essência da legitimidade democrática.

Publicidade no Brasil: entre o texto e a prática: Por aqui, o artigo 37 da Constituição Federal fala o mesmo, mas o Brasil resolveu fazer de conta que não. Publicidade, no Brasil oficial, virou sinônimo de “confie em mim”. Confie no código-fonte que você não pode ver, nos servidores que você não pode auditar, no software que você não pode verificar. Tudo muito moderno — e rigorosamente inverificável.

Felipe Gimenez, promotor e estudioso do tema, afirma sem meias-palavras: não há publicidade se o povo não pode fiscalizar. Não adianta publicar boletins de urna depois da apuração, se o eleitor não tem como garantir, fisicamente, que seu voto foi computado corretamente. É o velho problema do mágico no palco: você só enxerga o que ele quer que você enxergue.

Novo modelo da urna eletrônica é apresentado pelo TSE, em 2017, com a impressão do voto

A impossibilidade de auditoria nos sistemas DRE: Diego Aranha, Silvio Meira, Ronald Rivest, o MIT Election Lab, a Verified Voting Foundation, o International IDEA e o Electoral Integrity Project são categóricos: urnas do tipo DRE, sem comprovante impresso do voto conferível pelo eleitor, não permitem auditoria independente. Não se pode auditar o que não se vê. E o Registro Digital do Voto (RDV)? Um arquivo eletrônico gerado pela própria máquina, sem qualquer comprovação externa — uma espécie de planilha sem presunção legal de veracidade porque não tem assinatura eletrônica qualificada com certificado digital da ICP-Brasil, exigida por lei.

O que a Alemanha rejeitou, o Brasil consagrou. Enquanto os alemães exigem que o processo eleitoral seja inteiramente visível ao cidadão comum, o Brasil blindou sua eleição com termos técnicos, jargões e barreiras de acesso. Não há imprensa que cubra, não há perito que fiscalize, não há eleitor que compreenda. Há apenas a fé na autoridade — o exato oposto do que prega o constitucionalismo moderno.

Hoje, chegou-se ao ponto de criminalizar quem ousa sugerir melhorias técnicas ao sistema eleitoral; em vez de debate, usa-se o peso do Estado para intimidar a auditoria independente, como se publicidade fosse ameaça, e não exigência constitucional.

Conclusão Se a urna eletrônica brasileira fosse submetida ao mesmo teste que a Alemanha aplicou às suas, cairia. E cairia feio. Não por fraude, mas por algo ainda mais grave: por impossibilidade de fiscalização. “A democracia vive da luz, da visibilidade, do controle. No escuro, não há república — só confiança cega.",afirmou Pontes de Miranda. E isso, em qualquer língua, é inconstitucional.

Referências jurídicas e técnicas (clique no link para acessar)

• Constituição da República Federativa do Brasil: art. 37

• Lei Fundamental da Alemanha (Grundgesetz), art. 20 e jurisprudência BVerfG 2 BvC 3/07

• Pontes de Miranda: “Os Fundamentos Actuaes do Direito Constitucional”,1932

• Felipe Gimenez, depoimento na Audiência Pública na CCJ do Senado Federal, 2025

• Diego Aranha: "Os testes de segurança (nas urnas eletrônicas) são importantes e desejáveis, mas continuam insuficientes”, 2018

• Silvio Meira, artigos sobre urna eletrônica

• Ronald Rivest & Madars Virza, "Software Independence

  Revisited", 2017

• Verified Voting Foundation, “Resumo do problema com a votação eletrônica”, 2005

• MIT Election Lab, "MEDSL Explains: Voting Technology"

• International IDEA, Adoption of Voting Technology, 2020

• The Electoral Integrity Project, relatórios e rankings sobre integridade eleitoral global

• TSE, “Novo modelo da urna eletrônica é apresentado aos ministros do TSE, 2017”

Nota de Agradecimento: Este entendimento foi profundamente influenciado pelas reflexões do Procurador Felipe Marcelo Gimenez, que destacou a diferença semântica entre publicidade e transparência como fundamento indispensável para a proteção da soberania popular e a integridade normativa da Constituição.

A distinção conceitual entre os termos "publicidade" e "transparência" possui relevância fundamental no âmbito do direito administrativo e constitucional, especialmente em relação à gestão da coisa pública. Compreender a diferença semântica entre essas palavras é essencial para evitar distorções na interpretação legal e na execução de princípios constitucionais. No contexto da Constituição Federal de 1988, o princípio consagrado é o da publicidade, e não o da transparência.

O princípio da publicidade, previsto no art. 37, caput, da Constituição, impõe que os atos da administração pública estejam acessíveis ao povo, com o objetivo de assegurar a legitimidade dos atos e permitir o controle social. A publicidade não é apenas a difusão de informação, mas a sua apropriação pelo povo. Trata-se de uma condição necessária para que o cidadão tenha domínio cognitivo sobre os atos administrativos, podendo compreendê-los, criticá-los e reagir à sua prática.

Em contrapartida, o conceito de transparência é semanticamente distinto. Transparência é a qualidade do que permite ver através. Quando aplicada à gestão pública, ela supõe um filtro: a informação visível é apenas aquela que se deixa atravessar pelo meio. A transparência não é plena, não garante soberania cognitiva ao cidadão, mas sim um acesso condicionado àquilo que se permite mostrar. Diferentemente da publicidade, ela não transfere o domínio da informação ao povo.

Essa diferença se reflete também na escolha de outros conceitos que têm sido utilizados indevidamente na discussão sobre a fiscalização da administração pública, como "confiança" e "auditoria". A confiança desloca o poder do cidadão para o agente, pois exige uma relação de crédito que se mostra incompatível com a soberania popular. A auditoria, por sua vez, transfere o controle do processo para um terceiro (o auditor), alijando o público da função de controle direto.

A substituição da publicidade por transparência e confiança no discurso jurídico pode ter efeitos deletérios. Ao fragilizar a compreensão constitucional dos direitos de soberania e de controle popular, abre-se espaço para interpretações arbitrárias. Assim, é imperativo que o discurso jurídico mantenha fidelidade à letra e ao espírito da Constituição.

Aplicação ao processo eleitoral: No contexto das eleições, a exigência de publicidade assume papel ainda mais relevante, sendo essencial para garantir a legitimidade do processo democrático. A Constituição impõe que os atos eleitorais sejam públicos, assegurando o domínio cognitivo do povo sobre cada etapa do processo. Isso inclui a publicidade do voto como direito subjetivo (sigilo da identidade do eleitor, mas escrutínio público), a contagem pública dos votos, a publicação imediata dos resultados em cada seção eleitoral, e a divulgação do código-fonte dos programas utilizados no sistema eletrônico de votação. A opacidade ou o mero acesso condicionado à informação – ainda que sob a alcunha de "transparência" – não supre a exigência de que o povo tenha pleno conhecimento e controle dos mecanismos que registram corretamente a sua vontade soberana nas urnas eletrônicas e no sistema eletrônico de votação, como um todo.

Referências normativas:

• Gimenez, Felipe Marcelo. Reflexões sobre a publicidade como expressão da soberania popular. Comunicação pessoal, 2025.

• Constituição Federal de 1988, art. 37, caput – Princípios da administração pública.

• Lei nº 9.784/1999 – Regula o processo administrativo no âmbito da Administração Pública Federal.

• Constituição Federal de 1988, art. 14 – Sufrágio universal e voto direto e secreto, com valor igual para todos.

• Lei nº 9.504/1997, arts. 58 a 66 – Fiscalização e transparência do processo eleitoral.

Conclusão: O princípio da publicidade assegura o domínio cognitivo do povo sobre os atos do Estado, conforme disposto no art. 37 da Constituição Federal. A defesa semântica rigorosa dos conceitos utilizados no direito é condição de possibilidade para a manutenção da legalidade, da soberania popular e da democracia material. No processo eleitoral, essa exigência ganha expressão concreta e inadiável, pois somente com a total visibilidade e domínio público sobre cada fase da eleição é que se preserva a integridade do regime democrático.

Fruto de um trabalho coordenado por especialistas em engenharia eletrônica, ciência da computação e direito público, esta iniciativa dialoga com recomendações e diagnósticos emitidos por instituições internacionais de referência, como o MIT Election Lab, o International IDEA e o The Electoral Integrity Project. Longe de promover desinformação, nosso objetivo é exatamente o oposto: oferecer subsídios técnicos qualificados para ampliar a compreensão pública e institucional sobre os riscos e limitações do modelo atual e as oportunidades concretas de seu aprimoramento.

Ao longo de anos, estudos de integridade eleitoral têm apontado fragilidades nos sistemas DRE, que não imprimem um comprovante do voto, especialmente em países onde o voto não pode ser verificado de forma independente pelo eleitor. O relatório “Varieties of Electoral Integrity Risk: Protecting Elections in Brazil”, publicado pelo International IDEA em 2023, destaca que o modelo brasileiro, embora avançado na eliminação de fraudes manuais, carece de mecanismos de verificação confiável por parte da sociedade. O MIT Election Lab, por sua vez, enfatiza a importância de auditorias pós-eleitorais com base em evidências físicas, como forma de assegurar a correção dos resultados — o que não é possível no atual sistema sem um comprovante impresso do voto. Já o The Electoral Integrity Project recomenda a adoção de práticas auditáveis e de ampla fiscalização externa, reforçando a importância da confiança pública e da supervisão institucional independente.

Nos próximos artigos, vamos aprofundar a análise sobre diferentes dimensões críticas da integridade eleitoral, no Brasil:

• Governança: controle total da administração eleitoral pelo Judiciário e assimetria informacional entre gestores e sociedade;

• Publicidade: a exigência constitucional de publicidade assume papel essencial para garantir a legitimidade do processo democrático; a Constituição impõe que os atos eleitorais sejam públicos, assegurando o domínio cognitivo do povo sobre cada etapa do processo;

• Sigilo da identidade do Eleitor: o tratamento dos dados do eleitor e do seu voto na urna eletrônica gera riscos e vulnerabilidades para este sigilo, já reconhecidos como inconstitucionais pelo Supremo Tribunal Federal;

• Certificação ICP-Brasil: ausência de certificado digital ICP-Brasil, individual e único, instalado em cada urna eletrônica, para dar a presunção legal de veracidada aos documentos eletrônicos gerados pela urna;

• Segurança da informação: ausência de um Sistema de Gestão de Segurança da Informação, certificado na norma ABNT NBR ISO 27.001;

• Software-dependência: falta de independência entre resultado eleitoral e funcionamento do software, contrariando princípios técnicos de segurança defendidos por especialistas como Ronald Rivest;

• Transparência e auditoria: limitação da fiscalização por entidades independentes e ausência de recontagem efetiva.

Estes temas não são novos, nem exclusivos do contexto brasileiro. Ao contrário, são objeto de consenso técnico entre entidades comprometidas com o aprimoramento democrático. Nosso papel aqui é sistematizar esse conhecimento e apresentá-lo de forma clara, responsável e fundamentada.

Se você se interessa por eleições confiáveis, dados verificáveis e governança pública transparente, esta newsletter é para você. Assine, compartilhe e acompanhe as próximas edições. O debate precisa ser técnico, público e contínuo — e ele começa agora.